{"id":78849,"date":"2020-04-22T13:42:05","date_gmt":"2020-04-22T11:42:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki"},"modified":"2020-04-22T13:42:05","modified_gmt":"2020-04-22T11:42:05","slug":"bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","title":{"rendered":"Enamik viiruset\u00f5rjeprogramme osutus s\u00fcmboolsete linkide kaudu r\u00fcnnakutele vastuv\u00f5tlikuks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

RACK911 Labs'i teadlased t\u00e4helepanu juhivad<\/a><\/noindex> pea k\u00f5ik Windowsi, Linuxi ja macOSi viiruset\u00f5rje paketid on olnud haavatavad r\u00fcnde vastu, mis manipuleerib fini\u0161itingimustega (race conditions) failide kustutamise ajal, milles on tuvastatud pahavara.<\/p>\n

R\u00fcnnaku teostamiseks on vajalik laadida \u00fcles fail, mida viiruset\u00f5rje tuvastab pahavarana (nt saab kasutada testimistigi), ja teatud aja p\u00e4rast, p\u00e4rast pahavara tuvastamist viiruset\u00f5rje poolt, kuid vahetult enne kustutamisfunktsiooni kutsumist, asendada kausta s\u00fcmboolne link. Windowsis saavutatakse sama efekti saavutamiseks kausta asendamine \u00fchenduspunktiga (directory junction). Probleem on selles, et peaaegu k\u00f5ik viiruset\u00f5rjed ei kontrollinud s\u00fcmboolseid linke korralikult ja arvasid, et nad eemaldavad pahavara faili, kustutades faili kaustast, millele s\u00fcmboolne link osutab. <\/p>\n

Linuxi ja macOSi puhul on n\u00e4idatud, kuidas sellisel viisil v\u00f5ib privileegideta kasutaja kustutada \/etc\/passwd v\u00f5i m\u00f5ne muu s\u00fcsteemifaili, ning Windowsis DDL-raamatukogu ise antiviiruse t\u00f6\u00f6 blokeerimiseks (Windowsi r\u00fcnnak on piiratud ainult failide kustutamisega, mida ei kasutata praegu teiste rakenduste poolt). N\u00e4iteks v\u00f5ib r\u00fcndaja luua kausta \"exploit\" ja laadida sellesse faili EpSecApiLib.dll koos viiruse testisignaali, mille j\u00e4rel v\u00f5ib enne kustutamist asendada kaust \"exploit\" lingiga \"C:\\Program Files (x86)\\McAfee\\Endpoint Security\\Endpoint Security Platform\", mis p\u00f5hjustab EpSecApiLib.dll raamatukogu kustutamise antiviiruse kaustast. Linuxis ja macOSis on sarnast tehnikat v\u00f5imalik kasutada ka kausta asendamiseks lingiga \"\/etc\".<\/p>\n

#!\/bin\/sh
\n rm -rf \/home\/user\/exploit ; mkdir \/home\/user\/exploit\/
\n wget -q https:\/\/www.eicar.org\/download\/eicar.com.txt -O \/home\/user\/exploit\/passwd
\n while inotifywait -m \"\/home\/user\/exploit\/passwd\" | grep -m 5 \"OPEN\"
\n do
\n rm -rf \/home\/user\/exploit ; ln -s \/etc \/home\/user\/exploit
\n done<\/p>\n


\n
\r\n \"Vaata\r\n
<\/div>\r\n <\/div>
\n<\/center><\/p>\n

Veelgi enam, paljude Linuxi ja macOSi viiruset\u00f5rjete puhul on tuvastatud ettem\u00e4\u00e4ratud failinimede kasutamine ajutiste failide t\u00f6\u00f6tlemisel kaustades \/tmp ja \/private\/tmp, mis v\u00f5iks olla kasutatud privileegide t\u00f5stmiseks kuni root kasutajani. <\/p>\n

K\u00e4esolevaks ajaks on probleemid enamiku tarnijate poolt k\u00f5rvaldatud, kuid t\u00e4helepanuv\u00e4\u00e4rne on, et esimesed teated probleemi kohta saadeti tootjatele juba s\u00fcgisel 2018. Kuigi mitte k\u00f5ik tootjad ei ole v\u00e4lja andnud uuendusi, oli neil remondiks aega v\u00e4hemalt 6 kuud, ja RACK911 Labs arvab, et nad on n\u00fc\u00fcd \u00f5igustatud haavatavustest teavitama. RACK911 Labs on pikka aega tegelenud haavatavuste avastamisega, kuid nad ei oodanud, et viiruset\u00f5rjete t\u00f6\u00f6stuse kolleegidega t\u00f6\u00f6tamine osutub nii keeruliseks uuenduste v\u00e4ljalaskmise venimise ja turvaprobleemide kiire k\u00f5rvaldamise vajaduse ignoreerimise t\u00f5ttu.<\/p>\n

Probleemile nakatunud tooted (tasuta viiruset\u00f5rje pakett ClamAV ei ole nimekirjas):<\/p>\n