Většina antivirů byla vystavena útokům přes symbolické odkazy

Výzkumníci z RACK911 Labs si všimli že téměř všechny antivirové balíčky pro Windows, Linux a macOS byly zranitelné vůči útokům manipulujícím se závodními podmínkami (race conditions) při odstraňování souborů, v nichž bylo detekováno malware.

Pro provedení útoku je třeba nahrát soubor, který antivir rozpozná jako škodlivý (například lze použít testovací podpis), a po určité době, poté co antivir malware identifikuje, ale těsně předtím, než zavolá funkci pro jeho odstranění, nahradit adresář se souborem symbolickým odkazem. Ve Windows se k dosažení stejného efektu provádí náhrada adresáře pomocí bodu spojení (directory junction). Problém je v tom, že téměř všechny antiviry adekvátně neprováděly kontrolu symbolických odkazů a, domnívajíc se, že odstraňují škodlivý soubor, odstraňovaly soubor v adresáři, na který symbolický odkaz ukazuje.

V Linuxu a macOS bylo prokázáno, jak tímto způsobem může neprivilegovaný uživatel odstranit /etc/passwd nebo jakýkoli jiný systémový soubor, a ve Windows DLL knihovnu samotného antiviru, aby blokoval jeho funkci (ve Windows je útok omezen pouze na odstranění souborů, které v daném okamžiku nejsou používány jinými aplikacemi). Například útočník může vytvořit adresář „exploit“ a nahrát do něj soubor EpSecApiLib.dll s testovacím podpisem viru, poté před odstraněním nahradit adresář „exploit“ odkazem „C:\Program Files (x86)\McAfee\Endpoint Security\Endpoint Security Platform“, což povede k odstranění knihovny EpSecApiLib.dll z adresáře antiviru. V Linuxu a macOS lze stejnou metodu použít s náhradou adresáře odkazem „/etc“.

#!/bin/sh
rm -rf /home/user/exploit ; mkdir /home/user/exploit/
wget -q https://www.eicar.org/download/eicar.com.txt -O /home/user/exploit/passwd
while inotifywait -m “/home/user/exploit/passwd” | grep -m 5 “OPEN”
do
rm -rf /home/user/exploit ; ln -s /etc /home/user/exploit
done

Navíc bylo u mnoha antivirů pro Linux a macOS zjištěno použití předvídatelných názvů souborů při práci s dočasnými soubory v adresáři /tmp a /private/tmp, což mohlo být využito k zvýšení privilegií na uživatele root.

V současné době byla většina problémů vyřešena poskytovateli, ale zajímavé je, že první oznámení o problému byla zaslána výrobcům již na podzim 2018. I když ne všichni výrobci vydali aktualizace, měli minimálně 6 měsíců na opravy, a RACK911 Labs se domnívá, že nyní má právo zveřejnit informace o zranitelnostech. Je poznamenáno, že společnost RACK911 Labs se dlouhodobě zabývá identifikací zranitelností, ale nenapadlo ji, že bude tak obtížné spolupracovat s kolegy z antivirového průmyslu kvůli zpoždění vydávání aktualizací a ignorování nutnosti naléhavě vyřešit problémy se zabezpečením.

Produkty postižené problémem (bez volného antivirového balíku ClamAV na seznamu):

• Linux
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • Eset File Server Security
  • F-Secure Linux Security
  • Kaspersy Endpoint Security
  • McAfee Endpoint Security
  • Sophos Anti-Virus for Linux
• Windows
  • Avast Free Anti-Virus
  • Avira Free Anti-Virus
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • F-Secure Computer Protection
  • FireEye Endpoint Security
  • Intercept X (Sophos)
  • Kaspersky Endpoint Security
  • Malwarebytes for Windows
  • McAfee Endpoint Security
  • Panda Dome
  • Webroot Secure Anywhere
• macOS
  • AVG
  • BitDefender Total Security
  • Eset Cyber Security
  • Kaspersky Internet Security
  • McAfee Total Protection
  • Microsoft Defender (BETA)
  • Norton Security
  • Sophos Home
  • Webroot Secure Anywhere

  Zdroj: opennet.ru