{"id":78849,"date":"2020-04-22T13:42:05","date_gmt":"2020-04-22T11:42:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki"},"modified":"2020-04-22T13:42:05","modified_gmt":"2020-04-22T11:42:05","slug":"bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","title":{"rendered":"La plupart des antivirus se sont r\u00e9v\u00e9l\u00e9s vuln\u00e9rables \u00e0 une attaque via des liens symboliques.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Des chercheurs de l'entreprise RACK911 Labs ont remarqu\u00e9<\/a><\/noindex> que presque tous les paquets antivirus pour Windows, Linux et macOS \u00e9taient vuln\u00e9rables \u00e0 des attaques manipulant les conditions de concurrence lors de la suppression de fichiers contenant des logiciels malveillants.<\/p>\n

Pour mener une attaque, il est n\u00e9cessaire de t\u00e9l\u00e9charger un fichier que l'antivirus reconna\u00eet comme nuisible (par exemple, une signature de test peut \u00eatre utilis\u00e9e), puis, apr\u00e8s un certain temps, apr\u00e8s que l'antivirus ait d\u00e9tect\u00e9 le fichier malveillant, mais juste avant d'appeler la fonction pour le supprimer, de remplacer le r\u00e9pertoire contenant le fichier par un lien symbolique. Sous Windows, pour obtenir le m\u00eame effet, le r\u00e9pertoire est remplac\u00e9 \u00e0 l'aide d'une jonction de r\u00e9pertoire. Le probl\u00e8me est que presque tous les antivirus ne v\u00e9rifiaient pas correctement les liens symboliques et, pensant qu'ils supprimaient un fichier malveillant, supprimaient en fait le fichier dans le r\u00e9pertoire auquel le lien symbolique pointe. <\/p>\n

Sous Linux et macOS, il est montr\u00e9 comment un utilisateur non privil\u00e9gi\u00e9 peut supprimer \/etc\/passwd ou tout autre fichier syst\u00e8me, tandis qu'en Windows, il peut cibler la biblioth\u00e8que DLL de l'antivirus lui-m\u00eame pour bloquer son fonctionnement (sous Windows, l'attaque est limit\u00e9e \u00e0 la suppression de fichiers qui ne sont pas actuellement utilis\u00e9s par d'autres applications). Par exemple, un attaquant peut cr\u00e9er un r\u00e9pertoire \u00ab exploit \u00bb et y t\u00e9l\u00e9charger le fichier EpSecApiLib.dll avec une signature de virus test, puis, avant de le supprimer, remplacer le r\u00e9pertoire \u00ab exploit \u00bb par le lien \u00ab C:\\Program Files (x86)\\McAfee\\Endpoint Security\\Endpoint Security Platform \u00bb, ce qui entra\u00eenera la suppression de la biblioth\u00e8que EpSecApiLib.dll du r\u00e9pertoire de l'antivirus. Sous Linux et macOS, une technique similaire peut \u00eatre utilis\u00e9e en rempla\u00e7ant le r\u00e9pertoire par le lien \u00ab \/etc \u00bb.<\/p>\n

#!\/bin\/sh
\n rm -rf \/home\/user\/exploit ; mkdir \/home\/user\/exploit\/
\n wget -q https:\/\/www.eicar.org\/download\/eicar.com.txt -O \/home\/user\/exploit\/passwd
\n while inotifywait -m \"\\\/home\\\/user\\\/exploit\\\/passwd\" | grep -m 5 \"OPEN\"
\n do
\n rm -rf \/home\/user\/exploit ; ln -s \/etc \/home\/user\/exploit
\n done<\/p>\n


\n
\r\n \"Lire\r\n
<\/div>\r\n <\/div>
\n<\/center><\/p>\n

De plus, de nombreux antivirus pour Linux et macOS ont r\u00e9v\u00e9l\u00e9 l'utilisation de noms de fichiers pr\u00e9visibles lors du traitement des fichiers temporaires dans le r\u00e9pertoire \/tmp et \/private\/tmp, ce qui pourrait \u00eatre utilis\u00e9 pour \u00e9lever les privil\u00e8ges jusqu'\u00e0 l'utilisateur root. <\/p>\n

\u00c0 l'heure actuelle, la plupart des fournisseurs ont d\u00e9j\u00e0 r\u00e9solu les probl\u00e8mes, mais il est remarquable que les premi\u00e8res notifications concernant le probl\u00e8me ont \u00e9t\u00e9 envoy\u00e9es aux fabricants d\u00e8s l'automne 2018. Bien que tous les fabricants n'aient pas publi\u00e9 de mises \u00e0 jour, ils ont eu au moins 6 mois pour corriger les d\u00e9fauts, et RACK911 Labs estime qu'il est maintenant en droit de divulguer des informations sur les vuln\u00e9rabilit\u00e9s. Il est \u00e0 noter que RACK911 Labs est depuis longtemps engag\u00e9 dans l'identification des vuln\u00e9rabilit\u00e9s, mais n'a pas imagin\u00e9 qu'il serait si difficile de travailler avec ses coll\u00e8gues de l'industrie antivirus en raison des retards dans la publication des mises \u00e0 jour et de l'ignorance de la n\u00e9cessit\u00e9 d'une correction urgente des probl\u00e8mes de s\u00e9curit\u00e9.<\/p>\n

Produits vuln\u00e9rables au probl\u00e8me (le paquet antivirus gratuit ClamAV n'est pas dans la liste) :<\/p>\n