{"id":78849,"date":"2020-04-22T13:42:05","date_gmt":"2020-04-22T11:42:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki"},"modified":"2020-04-22T13:42:05","modified_gmt":"2020-04-22T11:42:05","slug":"bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/news\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","title":{"rendered":"V\u011bt\u0161ina antivir\u016f byla vystavena \u00fatok\u016fm p\u0159es symbolick\u00e9 odkazy","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

V\u00fdzkumn\u00edci z RACK911 Labs si v\u0161imli<\/a><\/noindex> \u017ee t\u00e9m\u011b\u0159 v\u0161echny antivirov\u00e9 bal\u00ed\u010dky pro Windows, Linux a macOS byly zraniteln\u00e9 v\u016f\u010di \u00fatok\u016fm manipuluj\u00edc\u00edm se z\u00e1vodn\u00edmi podm\u00ednkami (race conditions) p\u0159i odstra\u0148ov\u00e1n\u00ed soubor\u016f, v nich\u017e bylo detekov\u00e1no malware.<\/p>\n

Pro proveden\u00ed \u00fatoku je t\u0159eba nahr\u00e1t soubor, kter\u00fd antivir rozpozn\u00e1 jako \u0161kodliv\u00fd (nap\u0159\u00edklad lze pou\u017e\u00edt testovac\u00ed podpis), a po ur\u010dit\u00e9 dob\u011b, pot\u00e9 co antivir malware identifikuje, ale t\u011bsn\u011b p\u0159edt\u00edm, ne\u017e zavol\u00e1 funkci pro jeho odstran\u011bn\u00ed, nahradit adres\u00e1\u0159 se souborem symbolick\u00fdm odkazem. Ve Windows se k dosa\u017een\u00ed stejn\u00e9ho efektu prov\u00e1d\u00ed n\u00e1hrada adres\u00e1\u0159e pomoc\u00ed bodu spojen\u00ed (directory junction). Probl\u00e9m je v tom, \u017ee t\u00e9m\u011b\u0159 v\u0161echny antiviry adekv\u00e1tn\u011b neprov\u00e1d\u011bly kontrolu symbolick\u00fdch odkaz\u016f a, domn\u00edvaj\u00edc se, \u017ee odstra\u0148uj\u00ed \u0161kodliv\u00fd soubor, odstra\u0148ovaly soubor v adres\u00e1\u0159i, na kter\u00fd symbolick\u00fd odkaz ukazuje. <\/p>\n

Na Linuxu a macOS je uk\u00e1z\u00e1no, jak t\u00edmto zp\u016fsobem nemaj\u00edc\u00ed privilegium u\u017eivatel m\u016f\u017ee smazat \/etc\/passwd nebo jak\u00fdkoli jin\u00fd syst\u00e9mov\u00fd soubor, a ve Windows DDL-knihovnu samotn\u00e9ho antiviru pro zablokov\u00e1n\u00ed jeho \u010dinnosti (ve Windows je \u00fatok omezen pouze na maz\u00e1n\u00ed soubor\u016f, kter\u00e9 v dan\u00e9m okam\u017eiku nepou\u017e\u00edvaj\u00ed jin\u00e9 aplikace). Nap\u0159\u00edklad \u00fato\u010dn\u00edk m\u016f\u017ee vytvo\u0159it adres\u00e1\u0159 \u201eexploit\u201c a nahr\u00e1t do n\u011bj soubor EpSecApiLib.dll s testovac\u00edm podpisem viru, po \u010dem\u017e p\u0159ed smaz\u00e1n\u00edm zm\u011bn\u00ed adres\u00e1\u0159 \u201eexploit\u201c na odkaz \u201eC:\\Program Files (x86)\\McAfee\\Endpoint Security\\Endpoint Security Platform\u201c, co\u017e povede k smaz\u00e1n\u00ed knihovny EpSecApiLib.dll z adres\u00e1\u0159e antiviru. Na Linuxu a macOS lze obdobnou metodu prov\u00e9st s v\u00fdm\u011bnou adres\u00e1\u0159e za odkaz \u201e\/etc\u201c.<\/p>\n

#!\/bin\/sh
\n rm -rf \/home\/user\/exploit ; mkdir \/home\/user\/exploit\/
\n wget -q https:\/\/www.eicar.org\/download\/eicar.com.txt -O \/home\/user\/exploit\/passwd
\n while inotifywait -m \u201c\/home\/user\/exploit\/passwd\u201d | grep -m 5 \u201cOPEN\u201d
\n do
\n rm -rf \/home\/user\/exploit ; ln -s \/etc \/home\/user\/exploit
\n done<\/p>\n


\n
\r\n \"P\u0159ehr\u00e1t\r\n
<\/div>\r\n <\/div>
\n<\/center><\/p>\n

Nav\u00edc bylo u mnoha antivir\u016f pro Linux a macOS zji\u0161t\u011bno pou\u017eit\u00ed p\u0159edv\u00eddateln\u00fdch n\u00e1zv\u016f soubor\u016f p\u0159i pr\u00e1ci s do\u010dasn\u00fdmi soubory v adres\u00e1\u0159i \/tmp a \/private\/tmp, co\u017e mohlo b\u00fdt vyu\u017eito k zv\u00fd\u0161en\u00ed privilegi\u00ed na u\u017eivatele root. <\/p>\n

V sou\u010dasn\u00e9 dob\u011b byla v\u011bt\u0161ina probl\u00e9m\u016f vy\u0159e\u0161ena poskytovateli, ale zaj\u00edmav\u00e9 je, \u017ee prvn\u00ed ozn\u00e1men\u00ed o probl\u00e9mu byla zasl\u00e1na v\u00fdrobc\u016fm ji\u017e na podzim 2018. I kdy\u017e ne v\u0161ichni v\u00fdrobci vydali aktualizace, m\u011bli minim\u00e1ln\u011b 6 m\u011bs\u00edc\u016f na opravy, a RACK911 Labs se domn\u00edv\u00e1, \u017ee nyn\u00ed m\u00e1 pr\u00e1vo zve\u0159ejnit informace o zranitelnostech. Je poznamen\u00e1no, \u017ee spole\u010dnost RACK911 Labs se dlouhodob\u011b zab\u00fdv\u00e1 identifikac\u00ed zranitelnost\u00ed, ale nenapadlo ji, \u017ee bude tak obt\u00ed\u017en\u00e9 spolupracovat s kolegy z antivirov\u00e9ho pr\u016fmyslu kv\u016fli zpo\u017ed\u011bn\u00ed vyd\u00e1v\u00e1n\u00ed aktualizac\u00ed a ignorov\u00e1n\u00ed nutnosti nal\u00e9hav\u011b vy\u0159e\u0161it probl\u00e9my se zabezpe\u010den\u00edm.<\/p>\n

Produkty posti\u017een\u00e9 probl\u00e9mem (bez voln\u00e9ho antivirov\u00e9ho bal\u00edku ClamAV na seznamu):<\/p>\n