A legtöbb antivírus szoftver sebezhető a szimbolikus linkeken keresztül érkező támadásokkal szemben.

A RACK911 Labs kutatói felhívták a figyelmet arra, hogy szinte minden antivírus csomag Windows, Linux és macOS alatt sebezhető volt a versengési állapotot manipuláló támadásokra (race conditions) a rosszindulatú fájlok törlése során.

A támadás végrehajtásához fel kell tölteni egy fájlt, amelyet az antivírus rosszindulatúnak ismer fel (például használható egy teszt-sziget), és bizonyos idő elteltével, miután az antivírus azonosította a rosszindulatú fájlt, de közvetlenül a törlési funkció meghívása előtt, a fájl helyét szimbolikus linkkel kell helyettesíteni. Windows alatt ugyanezt az effekttel elérhetjük könyvtár összekapcsolásával (directory junction). A probléma az, hogy szinte minden antivírus nem végezte el megfelelően a szimbolikus linkek ellenőrzését, és azt hitegették, hogy a rosszindulatú fájlt törlik, valójában a félrevezetett könyvtárban lévő fájlt törölték.

Linuxban és macOS-ben bemutatták, hogy ilyen módon egy nem priviligizált felhasználó tud törölni bármely rendszerszintű fájlt, például a "/etc/passwd"-t, míg Windows alatt egy DLL könyvtárat, hogy blokkolja az antivírus működését (Windows alatt a támadás csak a jelenleg más alkalmazások által nem használt fájlok törlésére korlátozódik). Például a támadó létrehozhat egy "exploit" nevű könyvtárat, és feltölthet egy EpSecApiLib.dll fájlt a teszt-sziget alatt, majd a törlés előtt a "exploit" könyvtárat kicserélik a "C:\Program Files (x86)\McAfee\Endpoint Security\Endpoint Security Platform" szimbolikus linkre, ami a EpSecApiLib.dll törlését eredményezi az antivírus könyvtárából. Linuxban és macOS-ben hasonló trükköt lehet végrehajtani a könyvtár kicserélésével "/etc" linkre.

#!/bin/sh
rm -rf /home/user/exploit ; mkdir /home/user/exploit/
wget -q https://www.eicar.org/download/eicar.com.txt -O /home/user/exploit/passwd
while inotifywait -m “/home/user/exploit/passwd” | grep -m 5 “OPEN”
do
rm -rf /home/user/exploit ; ln -s /etc /home/user/exploit
kész

Ezen kívül, sok Linux és macOS antivírusban előrelátható fájlnevek használatát észlelték a /tmp és /private/tmp könyvtárak ideiglenes fájljaival kapcsolatban, ami felhasználható volt a jogok felemelésére a root felhasználóig.

Jelenleg a legtöbb szolgáltatónál már megoldották a problémákat, de figyelemre méltó, hogy a problémáról elsőként értesítették a gyártókat még 2018 őszén. Annak ellenére, hogy nem minden gyártó adta ki a frissítéseket, legalább 6 hónapos időt kaptak a megoldásra, és a RACK911 Labs úgy véli, hogy most már jogosan felfedheti a sebezhetőségekről szóló információkat. Megjegyzik, hogy a RACK911 Labs régóta foglalkozik a sebezhetőségek feltárásával, de nem gondolták volna, hogy a vírusirtó ipar kollégáival való együttműködés ennyire nehéz lesz a frissítések kiadásának csúszása és a biztonsági problémák sürgős megoldásának figyelmen kívül hagyása miatt.

A problémának kitett termékek (a ClamAV ingyenes víruskereső csomag nem szerepel a listán):

• Linux
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • Eset File Server Security
  • F-Secure Linux Security
  • Kaspersky Endpoint Security
  • McAfee Endpoint Security
  • Sophos Anti-Virus for Linux
• Windows
  • Avast Free Anti-Virus
  • Avira Free Anti-Virus
  • BitDefender GravityZone
  • Comodo Endpoint Security
  • F-Secure Computer Protection
  • FireEye Endpoint Security
  • Intercept X (Sophos)
  • Kaspersky Endpoint Security
  • Malwarebytes for Windows
  • McAfee Endpoint Security
  • Panda Dome
  • Webroot Secure Anywhere
• macOS
  • AVG
  • BitDefender Total Security
  • Eset Cyber Security
  • Kaspersky Internet Security
  • McAfee Total Protection
  • Microsoft Defender (BETA)
  • Norton Security
  • Sophos Home
  • Webroot Secure Anywhere

  Forrás: opennet.ru