{"id":78849,"date":"2020-04-22T13:42:05","date_gmt":"2020-04-22T11:42:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki"},"modified":"2020-04-22T13:42:05","modified_gmt":"2020-04-22T11:42:05","slug":"bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","title":{"rendered":"Wi\u0119kszo\u015b\u0107 program\u00f3w antywirusowych by\u0142a podatna na ataki za po\u015brednictwem dowi\u0105za\u0144 symbolicznych","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Badacze z firmy RACK911 Labs zwr\u00f3cili uwag\u0119<\/a><\/noindex> na to, \u017ce prawie wszystkie pakiety antywirusowe dla system\u00f3w Windows, Linux i macOS by\u0142y podatne na ataki manipuluj\u0105ce stanem wy\u015bcigu (race conditions) podczas usuwania plik\u00f3w, w kt\u00f3rych wykryto z\u0142o\u015bliwe oprogramowanie.<\/p>\n

Aby przeprowadzi\u0107 atak, nale\u017cy za\u0142adowa\u0107 plik, kt\u00f3ry antywirus rozpoznaje jako z\u0142o\u015bliwy (na przyk\u0142ad mo\u017cna u\u017cy\u0107 testowej sygnatury), a po pewnym czasie, po wykryciu z\u0142o\u015bliwego pliku przez antywirus, ale bezpo\u015brednio przed wywo\u0142aniem funkcji jego usuni\u0119cia, podmieni\u0107 katalog z plikiem za pomoc\u0105 dowi\u0105zania symbolicznego. W systemie Windows osi\u0105ga si\u0119 ten sam efekt, wykonuj\u0105c podmian\u0119 katalogu przy pomocy punktu \u0142\u0105czenia (directory junction). Problem w tym, \u017ce prawie wszystkie programy antywirusowe nie dokonywa\u0142y odpowiedniej weryfikacji dowi\u0105za\u0144 symbolicznych i, s\u0105dz\u0105c, \u017ce usuwaj\u0105 z\u0142o\u015bliwy plik, usuwa\u0142y plik w katalogu, na kt\u00f3ry wskazuje dowi\u0105zanie symboliczne. <\/p>\n

W systemach Linux i macOS pokazano, jak w ten spos\u00f3b nieuprzywilejowany u\u017cytkownik mo\u017ce usun\u0105\u0107 \"\/etc\/passwd\" lub dowolny inny plik systemowy, a w systemie Windows bibliotek\u0119 DDL samego programu antywirusowego w celu zablokowania jego pracy (w Windows atak jest ograniczony tylko do usuwania plik\u00f3w, kt\u00f3re w danym momencie nie s\u0105 u\u017cywane przez inne aplikacje). Na przyk\u0142ad atakuj\u0105cy mo\u017ce stworzy\u0107 katalog \"exploit\" i za\u0142adowa\u0107 do niego plik EpSecApiLib.dll z testow\u0105 sygnatur\u0105 wirusa, po czym przed usuni\u0119ciem zamieni\u0107 katalog \"exploit\" na link \"C:\\Program Files (x86)\\McAfee\\Endpoint Security\\Endpoint Security Platform\", co doprowadzi do usuni\u0119cia biblioteki EpSecApiLib.dll z katalogu antywirusowego. W systemach Linux i macOS podobny zabieg mo\u017cna wykona\u0107, podmieniaj\u0105c katalog na link \"\\\/etc\".<\/p>\n

#!\/bin\/sh
\n rm -rf \/home\/user\/exploit ; mkdir \/home\/user\/exploit\/
\n wget -q https:\/\/www.eicar.org\/download\/eicar.com.txt -O \/home\/user\/exploit\/passwd
\n while inotifywait -m \"\\\/home\\\/user\\\/exploit\\\/passwd\" | grep -m 5 \"OPEN\"
\n do
\n rm -rf \/home\/user\/exploit ; ln -s \/etc \/home\/user\/exploit
\n zrobione<\/p>\n


\n
\r\n \"Odtwarzaj\r\n
<\/div>\r\n <\/div>
\n<\/center><\/p>\n

Ponadto w wielu programach antywirusowych dla system\u00f3w Linux i macOS stwierdzono u\u017cycie przewidywalnych nazw plik\u00f3w podczas pracy z plikami tymczasowymi w katalogu \/tmp i \/private\/tmp, co mog\u0142o by\u0107 wykorzystywane do podnoszenia uprawnie\u0144 do u\u017cytkownika root. <\/p>\n

Obecnie wi\u0119kszo\u015b\u0107 dostawc\u00f3w ju\u017c rozwi\u0105za\u0142a problemy, ale warto zauwa\u017cy\u0107, \u017ce pierwsze powiadomienia o problemie zosta\u0142y wys\u0142ane do producent\u00f3w ju\u017c w jesieni 2018 roku. Pomimo \u017ce nie wszyscy producenci wprowadzili aktualizacje, mieli oni co najmniej 6 miesi\u0119cy na poprawki, a RACK911 Labs uwa\u017ca, \u017ce teraz ma prawo ujawnia\u0107 informacje o lukach w zabezpieczeniach. Zauwa\u017cono, \u017ce firma RACK911 Labs od dawna zajmuje si\u0119 wykrywaniem luk, ale nie spodziewa\u0142a si\u0119, \u017ce wsp\u00f3\u0142praca z kolegami z bran\u017cy antywirusowej b\u0119dzie tak trudna z powodu op\u00f3\u017anie\u0144 w wydawaniu aktualizacji i ignorowania potrzeby pilnego rozwi\u0105zania problem\u00f3w z bezpiecze\u0144stwem.<\/p>\n

Produkty podatne na problem (darmowy pakiet antywirusowy ClamAV nie znajduje si\u0119 na li\u015bcie):<\/p>\n