{"id":78849,"date":"2020-04-22T13:42:05","date_gmt":"2020-04-22T11:42:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki"},"modified":"2020-04-22T13:42:05","modified_gmt":"2020-04-22T11:42:05","slug":"bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","title":{"rendered":"A legt\u00f6bb antiv\u00edrus szoftver sebezhet\u0151 a szimbolikus linkeken kereszt\u00fcl \u00e9rkez\u0151 t\u00e1mad\u00e1sokkal szemben.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

A RACK911 Labs kutat\u00f3i felh\u00edvt\u00e1k a figyelmet arra,<\/a><\/noindex> hogy szinte minden antiv\u00edrus csomag Windows, Linux \u00e9s macOS alatt sebezhet\u0151 volt a verseng\u00e9si \u00e1llapotot manipul\u00e1l\u00f3 t\u00e1mad\u00e1sokra (race conditions) a rosszindulat\u00fa f\u00e1jlok t\u00f6rl\u00e9se sor\u00e1n.<\/p>\n

A t\u00e1mad\u00e1s v\u00e9grehajt\u00e1s\u00e1hoz fel kell t\u00f6lteni egy f\u00e1jlt, amelyet az antiv\u00edrus rosszindulat\u00fanak ismer fel (p\u00e9ld\u00e1ul haszn\u00e1lhat\u00f3 egy teszt-sziget), \u00e9s bizonyos id\u0151 eltelt\u00e9vel, miut\u00e1n az antiv\u00edrus azonos\u00edtotta a rosszindulat\u00fa f\u00e1jlt, de k\u00f6zvetlen\u00fcl a t\u00f6rl\u00e9si funkci\u00f3 megh\u00edv\u00e1sa el\u0151tt, a f\u00e1jl hely\u00e9t szimbolikus linkkel kell helyettes\u00edteni. Windows alatt ugyanezt az effekttel el\u00e9rhetj\u00fck k\u00f6nyvt\u00e1r \u00f6sszekapcsol\u00e1s\u00e1val (directory junction). A probl\u00e9ma az, hogy szinte minden antiv\u00edrus nem v\u00e9gezte el megfelel\u0151en a szimbolikus linkek ellen\u0151rz\u00e9s\u00e9t, \u00e9s azt hitegett\u00e9k, hogy a rosszindulat\u00fa f\u00e1jlt t\u00f6rlik, val\u00f3j\u00e1ban a f\u00e9lrevezetett k\u00f6nyvt\u00e1rban l\u00e9v\u0151 f\u00e1jlt t\u00f6r\u00f6lt\u00e9k. <\/p>\n

A Linux \u00e9s macOS rendszerekben bemutatj\u00e1k, hogy ezen a m\u00f3don egy nem privilegiz\u00e1lt felhaszn\u00e1l\u00f3 hogyan tudja t\u00f6r\u00f6lni az \/etc\/passwd vagy b\u00e1rmely m\u00e1s rendszerf\u00e1jlt, m\u00edg Windows rendszeren az antiv\u00edrus DDL k\u00f6nyvt\u00e1r\u00e1t t\u00f6r\u00f6lheti az \u0151 m\u0171k\u00f6d\u00e9s\u00e9nek blokkol\u00e1s\u00e1hoz (Windows eset\u00e9ben a t\u00e1mad\u00e1s csak a jelenleg m\u00e1s alkalmaz\u00e1sok \u00e1ltal nem haszn\u00e1lt f\u00e1jlok t\u00f6rl\u00e9s\u00e9re korl\u00e1toz\u00f3dik). P\u00e9ld\u00e1ul a t\u00e1mad\u00f3 l\u00e9trehozhat egy \u201eexploit\u201d nev\u0171 k\u00f6nyvt\u00e1rat, \u00e9s felt\u00f6ltheti abba az EpSecApiLib.dll f\u00e1jlt egy teszt v\u00edrus al\u00e1\u00edr\u00e1ssal, majd t\u00f6rl\u00e9s el\u0151tt az \u201eexploit\u201d k\u00f6nyvt\u00e1rat \u00e1tlinkelheti a \u201eC:\\Program Files (x86)\\McAfee\\Endpoint Security\\Endpoint Security Platform\u201d hivatkoz\u00e1sra, ami az EpSecApiLib.dll t\u00f6rl\u00e9s\u00e9hez vezet a v\u00edrusirt\u00f3 k\u00f6nyvt\u00e1r\u00e1b\u00f3l. A Linux \u00e9s macOS rendszerekben hasonl\u00f3 tr\u00fckk\u00f6t alkalmazhatunk a k\u00f6nyvt\u00e1r \u00e1tkonvert\u00e1l\u00e1s\u00e1val a \u201e\/etc\u201d hivatkoz\u00e1sra.<\/p>\n

#!\/bin\/sh
\n rm -rf \/home\/user\/exploit ; mkdir \/home\/user\/exploit\/
\n wget -q https:\/\/www.eicar.org\/download\/eicar.com.txt -O \/home\/user\/exploit\/passwd
\n while inotifywait -m \"\\\/home\\\/user\\\/exploit\\\/passwd\" | grep -m 5 \"OPEN\"
\n do
\n rm -rf \/home\/user\/exploit ; ln -s \/etc \/home\/user\/exploit
\n k\u00e9sz<\/p>\n


\n
\r\n \"Vide\u00f3\r\n
<\/div>\r\n <\/div>
\n<\/center><\/p>\n

Ezen k\u00edv\u00fcl, sok Linux \u00e9s macOS antiv\u00edrusban el\u0151rel\u00e1that\u00f3 f\u00e1jlnevek haszn\u00e1lat\u00e1t \u00e9szlelt\u00e9k a \/tmp \u00e9s \/private\/tmp k\u00f6nyvt\u00e1rak ideiglenes f\u00e1jljaival kapcsolatban, ami felhaszn\u00e1lhat\u00f3 volt a jogok felemel\u00e9s\u00e9re a root felhaszn\u00e1l\u00f3ig. <\/p>\n

Jelenleg a legt\u00f6bb szolg\u00e1ltat\u00f3n\u00e1l m\u00e1r megoldott\u00e1k a probl\u00e9m\u00e1kat, de figyelemre m\u00e9lt\u00f3, hogy a probl\u00e9m\u00e1r\u00f3l els\u0151k\u00e9nt \u00e9rtes\u00edtett\u00e9k a gy\u00e1rt\u00f3kat m\u00e9g 2018 \u0151sz\u00e9n. Annak ellen\u00e9re, hogy nem minden gy\u00e1rt\u00f3 adta ki a friss\u00edt\u00e9seket, legal\u00e1bb 6 h\u00f3napos id\u0151t kaptak a megold\u00e1sra, \u00e9s a RACK911 Labs \u00fagy v\u00e9li, hogy most m\u00e1r jogosan felfedheti a sebezhet\u0151s\u00e9gekr\u0151l sz\u00f3l\u00f3 inform\u00e1ci\u00f3kat. Megjegyzik, hogy a RACK911 Labs r\u00e9g\u00f3ta foglalkozik a sebezhet\u0151s\u00e9gek felt\u00e1r\u00e1s\u00e1val, de nem gondolt\u00e1k volna, hogy a v\u00edrusirt\u00f3 ipar koll\u00e9g\u00e1ival val\u00f3 egy\u00fcttm\u0171k\u00f6d\u00e9s ennyire neh\u00e9z lesz a friss\u00edt\u00e9sek kiad\u00e1s\u00e1nak cs\u00fasz\u00e1sa \u00e9s a biztons\u00e1gi probl\u00e9m\u00e1k s\u00fcrg\u0151s megold\u00e1s\u00e1nak figyelmen k\u00edv\u00fcl hagy\u00e1sa miatt.<\/p>\n

A probl\u00e9m\u00e1nak kitett term\u00e9kek (a ClamAV ingyenes v\u00edruskeres\u0151 csomag nem szerepel a list\u00e1n):<\/p>\n