{"id":78849,"date":"2020-04-22T13:42:05","date_gmt":"2020-04-22T11:42:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki"},"modified":"2020-04-22T13:42:05","modified_gmt":"2020-04-22T11:42:05","slug":"bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/bolshinstvo-antivirusov-okazalis-podverzheny-atake-cherez-simvolicheskie-ssylki","title":{"rendered":"De flesta antivirusprogram var mottagliga f\u00f6r attacker via symboliska l\u00e4nkar","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Forskare fr\u00e5n f\u00f6retaget RACK911 Labs uppm\u00e4rksammade<\/a><\/noindex> att n\u00e4stan alla antivirusprogram f\u00f6r Windows, Linux och macOS var s\u00e5rbara f\u00f6r attacker som manipulerar race conditions vid borttagning av filer som inneh\u00e5ller skadlig kod.<\/p>\n

F\u00f6r att genomf\u00f6ra en attack kr\u00e4vs att en fil laddas upp som antivirusprogrammet identifierar som skadlig (till exempel kan en testsignatur anv\u00e4ndas), och efter en viss tid, efter att den skadliga filen har uppt\u00e4ckts av antivirusprogrammet, men innan funktionen f\u00f6r dess borttagning anropas, f\u00f6r\u00e4ndras katalogen med filen till en symbolisk l\u00e4nk. I Windows uppn\u00e5s samma effekt genom att byta katalog med hj\u00e4lp av en directory junction. Problemet \u00e4r att n\u00e4stan alla antivirusprogram inte korrekt kontrollerade symboliska l\u00e4nkar och, i tron att de tar bort den skadliga filen, tog bort en fil i katalogen som den symboliska l\u00e4nken pekar p\u00e5. <\/p>\n

I Linux och macOS har det visats hur en icke-privilegerad anv\u00e4ndare kan ta bort \/etc\/passwd eller vilken annan systemfil som helst, medan i Windows kan DLL-biblioteket f\u00f6r antivirusprogrammet tas bort f\u00f6r att blockera dess funktion (i Windows \u00e4r attacken begr\u00e4nsad till att endast ta bort filer som f\u00f6r n\u00e4rvarande inte anv\u00e4nds av andra applikationer). Till exempel kan angriparen skapa katalogen 'exploit' och ladda upp filen EpSecApiLib.dll med en testsignatur av viruset, och efter det, innan raderingen, byta katalogen 'exploit' till l\u00e4nken 'C:\\Program Files (x86)\\McAfee\\Endpoint Security\\Endpoint Security Platform', vilket leder till att biblioteket EpSecApiLib.dll tas bort fr\u00e5n antiviruskatalogen. I Linux och macOS kan en liknande metod utf\u00f6ras genom att byta katalogen till l\u00e4nken '\/etc'.<\/p>\n

#!\/bin\/sh
\n rm -rf \/home\/user\/exploit ; mkdir \/home\/user\/exploit\/
\n wget -q https:\/\/www.eicar.org\/download\/eicar.com.txt -O \/home\/user\/exploit\/passwd
\n while inotifywait -m \"\/home\/user\/exploit\/passwd\" | grep -m 5 \"OPEN\"
\n do
\n rm -rf \/home\/user\/exploit ; ln -s \/etc \/home\/user\/exploit
\n done<\/p>\n


\n
\r\n \"Spela\r\n
<\/div>\r\n <\/div>
\n<\/center><\/p>\n

Dessutom har m\u00e5nga antivirusprogram f\u00f6r Linux och macOS visat sig anv\u00e4nda f\u00f6ruts\u00e4gbara filnamn n\u00e4r de arbetar med tempor\u00e4ra filer i katalogerna \/tmp och \/private\/tmp, vilket kan ha anv\u00e4nts f\u00f6r att h\u00f6ja privilegierna till root-anv\u00e4ndaren. <\/p>\n

F\u00f6r n\u00e4rvarande har de flesta leverant\u00f6rer l\u00f6st problemen, men det \u00e4r v\u00e4rt att notera att de f\u00f6rsta meddelandena om problemet skickades till tillverkarna redan h\u00f6sten 2018. Trots att inte alla tillverkare har sl\u00e4ppt uppdateringar, fick de minst 6 m\u00e5nader f\u00f6r att \u00e5tg\u00e4rda problemen, och RACK911 Labs anser att de nu har r\u00e4tt att avsl\u00f6ja information om s\u00e5rbarheterna. Det noteras att RACK911 Labs har arbetat med att identifiera s\u00e5rbarheter under en l\u00e4ngre tid, men de hade inte f\u00f6rv\u00e4ntat sig att det skulle vara s\u00e5 sv\u00e5rt att samarbeta med kollegor inom antivirusindustrin p\u00e5 grund av f\u00f6rdr\u00f6jningen av uppdateringar och ignoreringen av det akuta behovet av att \u00e5tg\u00e4rda s\u00e4kerhetsproblem.<\/p>\n

Produkter som p\u00e5verkas av problemet (den fria antiviruspaketet ClamAV saknas i listan):<\/p>\n