{"id":78849,"date":"2020-04-22T13:42:05","date_gmt":"2020-04-22T11:42:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki"},"modified":"2020-04-22T13:42:05","modified_gmt":"2020-04-22T11:42:05","slug":"bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","title":{"rendered":"De fleste antivirusprogrammer er blevet ramt af angreb gennem symbolske links","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Forskere fra RACK911 Labs har bem\u00e6rket<\/a><\/noindex> at n\u00e6sten alle antivirusprogrammer til Windows, Linux og macOS var s\u00e5rbare over for angreb, der manipulerer med race conditions under sletning af filer, hvor malware er fundet.<\/p>\n

For at udf\u00f8re et angreb kr\u00e6ves det, at man uploader en fil, som antivirusprogrammet genkender som skadelig (for eksempel kan man bruge en testsignatur), og efter en bestemt tid, efter at malware-filen er blevet identificeret af antivirus, men lige f\u00f8r funktionen til dens sletning kaldes, erstattes kataloget med filen med et symbolsk link. I Windows opn\u00e5s samme effekt ved at erstatte kataloget med en directory junction. Problemet er, at n\u00e6sten alle antivirusprogrammer ikke korrekt kontrollerede symbolske links og, da de troede, at de sletter en skadelig fil, i stedet slettede filen i det katalog, som det symbolske link peger p\u00e5. <\/p>\n

I Linux og macOS er det vist, hvordan en ikke-privilegeret bruger kan slette \/etc\/passwd eller enhver anden systemfil, mens angrebet i Windows begr\u00e6nser sig til at slette DLL-biblioteket af selve antivirusprogrammet for at blokere dets funktion. I Windows er angrebet begr\u00e6nset til kun at slette filer, der i \u00f8jeblikket ikke bruges af andre applikationer. For eksempel kan en angriber oprette et katalog kaldet \u00abexploit\u00bb og uploade filen EpSecApiLib.dll med en testvirus-signatur, hvorefter kataloget \u00abexploit\u00bb kan \u00e6ndres til en link til \u00abC:\\Program Files (x86)\\McAfee\\Endpoint Security\\Endpoint Security Platform\u00bb, hvilket vil resultere i sletning af biblioteket EpSecApiLib.dll fra antiviruskataloget. I Linux og macOS kan en lignende teknik anvendes ved at erstatte kataloget med et link til \u00ab\/etc\u00bb.<\/p>\n

#!\/bin\/sh
\n rm -rf \/home\/user\/exploit ; mkdir \/home\/user\/exploit\/
\n wget -q https:\/\/www.eicar.org\/download\/eicar.com.txt -O \/home\/user\/exploit\/passwd
\n while inotifywait -m \"\/home\/user\/exploit\/passwd\" | grep -m 5 \"OPEN\"
\n do
\n rm -rf \/home\/user\/exploit ; ln -s \/etc \/home\/user\/exploit
\n done<\/p>\n


\n
\r\n \"Afspil\r\n
<\/div>\r\n <\/div>
\n<\/center><\/p>\n

Desuden er der i mange antivirusprogrammer til Linux og macOS blevet opdaget brugen af forudsigelige filnavne ved h\u00e5ndtering af midlertidige filer i kataloget \/tmp og \/private\/tmp, hvilket kunne anvendes til at h\u00e6ve privilegierne til root-bruger. <\/p>\n

P\u00e5 nuv\u00e6rende tidspunkt er problemerne blevet l\u00f8st af de fleste udbydere, men det bem\u00e6rkes, at de f\u00f8rste meddelelser om problemet blev sendt til producenterne allerede i efter\u00e5ret 2018. Selvom ikke alle producenter har udgivet opdateringer, fik de mindst 6 m\u00e5neder til at rette fejlene, og RACK911 Labs mener, at de nu har ret til at offentligg\u00f8re oplysninger om s\u00e5rbarhederne. Det bem\u00e6rkes, at RACK911 Labs har arbejdet med at identificere s\u00e5rbarheder i lang tid, men de havde ikke forventet, at det ville v\u00e6re s\u00e5 sv\u00e6rt at arbejde sammen med kolleger i antivirusindustrien p\u00e5 grund af forsinkelsen i udgivelsen af opdateringer og ignorering af n\u00f8dvendigheden af hurtig l\u00f8sning af sikkerhedsproblemer.<\/p>\n

Produkter, der er ber\u00f8rt af problemet (den gratis antiviruspakke ClamAV er ikke p\u00e5 listen):<\/p>\n