{"id":78849,"date":"2020-04-22T13:42:05","date_gmt":"2020-04-22T11:42:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki"},"modified":"2020-04-22T13:42:05","modified_gmt":"2020-04-22T11:42:05","slug":"bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","title":{"rendered":"Enamiku viiruset\u00f5rjete r\u00fcndamine l\u00e4bi s\u00fcmboolsete linkide","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

RACK911 Labs'i uurijad p\u00f6\u00f6rasid t\u00e4helepanu<\/a><\/noindex> kelle t\u00e4helepanekuks oli, et peaaegu k\u00f5ik Windowsi, Linuxi ja macOS'i viiruset\u00f5rje paketid olid haavatavad r\u00fcnnakute suhtes, mis manipuleerivad v\u00f5istluslikke tingimusi (race conditions) failide kustutamise ajal, milles tuvastatakse pahavara.<\/p>\n

R\u00fcnnaku teostamiseks tuleb laadida fail, mida viiruset\u00f5rje tuvastab pahavarana (n\u00e4iteks v\u00f5ib kasutada testimistigmasid), ja teatud aja p\u00e4rast, p\u00e4rast pahafaili tuvastamist viiruset\u00f5rje poolt, kuid vahetult enne kustutamisfunktsiooni kutsumist, asendada kaust s\u00fcmboolse lingiga. Windowsis saavutatakse sama efekti, asendades kaust \u00fchenduspunktiga (directory junction). Probleem on selles, et peaaegu k\u00f5ik viiruset\u00f5rjed ei kontrollinud korralikult s\u00fcmboolseid linke ning arvasid, et kustutavad pahafaili, kustutades faili kaustas, millele s\u00fcmboolne link osutab. <\/p>\n

Linuxis ja macOSis on n\u00e4idatud, kuidas tavat\u00f6\u00f6 kasutaja saab sellisel viisil eemaldada \/etc\/passwd v\u00f5i m\u00f5ne muu s\u00fcsteemifaili ning Windowsis DDL-teegi, mis kuulub viiruset\u00f5rjele, et takistada selle t\u00f6\u00f6d (Windowsis on r\u00fcnnak piiratud ainult failide kustutamisega, mida hetkel ei kasutata teiste rakenduste poolt). N\u00e4iteks v\u00f5ib r\u00fcndaja luua kausta \u00abexploit\u00bb ja laadida sellesse faili EpSecApiLib.dll koos viiruse testsignatuuriga, seej\u00e4rel asendada enne kustutamist kaust \u00abexploit\u00bb lingiga \u00abC:\\\\Program Files (x86)\\\\McAfee\\\\Endpoint Security\\\\Endpoint Security Platform\u00bb, mis toob kaasa EpSecApiLib.dll teegi kustutamise viiruset\u00f5rje kaustast. Linuxis ja macOSis saab sarnast tehnikat kasutada kausta asendamiseks lingiga \u00ab\/etc\u00bb.<\/p>\n

#!\/bin\/sh
\n rm -rf \/home\/user\/exploit ; mkdir \/home\/user\/exploit\/
\n wget -q https:\/\/www.eicar.org\/download\/eicar.com.txt -O \/home\/user\/exploit\/passwd
\n while inotifywait -m \"\/home\/user\/exploit\/passwd\" | grep -m 5 \"OPEN\"
\n do
\n rm -rf \/home\/user\/exploit ; ln -s \/etc \/home\/user\/exploit
\n done<\/p>\n


\n
\r\n \"M\u00e4ngi\r\n
<\/div>\r\n <\/div>
\n<\/center><\/p>\n

Veelgi, paljudes viiruset\u00f5rjedes Linuxi ja macOS-i jaoks on avastatud etteaimatavate failide nimede kasutamine ajutiste failide t\u00f6\u00f6tlemisel kaustas \/tmp ja \/private\/tmp, mida v\u00f5iks kasutada privileegide t\u00f5stmiseks root kasutajaks. <\/p>\n

K\u00e4esolevaks ajaks on enamik tarnijatest probleemid lahendanud, kuid t\u00e4helepanuv\u00e4\u00e4rne on, et esimesed teated probleemist saadeti tootjatele juba 2018. aasta s\u00fcgisel. Kuigi mitte k\u00f5ik tootjad ei ole v\u00e4lja andnud uuendusi, oli neil aega parandamiseks v\u00e4hemalt 6 kuud, ja RACK911 Labs leiab, et n\u00fc\u00fcd on neil \u00f5igus teavet haavatavuste kohta avalikustada. RACK911 Labs on pikka aega tegelenud haavatavuste tuvastamisega, kuid nad ei m\u00f5elnud, et antiviirusindustri kolleegidega t\u00f6\u00f6tamine osutub nii raskeks uuenduste viibimise ja turvaprobleemide kiire lahendamise vajaduse ignoreerimise t\u00f5ttu.<\/p>\n

Probleemile allunud tooted (tasuta antiviiruspakett ClamAV pole loendis):<\/p>\n