В антивирусе McAfee для Linux выявлена удалённая root-уязвимость
13 декабря 2016 года
В проприетарном антивирусном пакете McAfee VirusScan Enterprise для платформы Linux выявлено (Архивная копия от 8 ноября 2020 на Wayback Machine) 10 уязвимостей, сочетание которых даёт возможность организовать удалённую атаку, которая позволяет неаутентифицированному стороннему злоумышленнику выполнить свой код на сервере с правами пользователя root. Производителю было сообщено о проблеме ещё в июне, но обновление с устранением уязвимости было выпущено только вчера. Так как исправление уже доступно, обнаружившие уязвимости исследователи безопасности опубликовали рабочий прототип эксплоита.
По отдельности каждая из 10 уязвимостей не является критичной, но их сочетание позволяет выстроить цепочку для совершения атаки по получению полного контроля за системой. Исследователи также обратили внимание на непростительное для профессионального ПО, связанного с обеспечением безопасности, отношение к собственной защите - процесс выполняется с правами root без сброса привилегий. Второй процесс, обеспечивающий работу web-интерфейса запускается под отдельным пользователем, но все запросы всё равно передаются для обработки процессу, работающему под root
Найденные уязвимости:
- CVE-2016-8016: Возможность удалённой проверки наличия файла, не требующая аутентификации;
- CVE-2016-8017: Возможность удалённого чтения определённого класса файлов без аутентификации;
- CVE-2016-8018: Отсутствие токенов для защиты от CSRF-атак;
- CVE-2016-8019: Возможность осуществления межсайтового скриптинга;
- CVE-2016-8020: Удалённое выполнение кода и повышение привилегий при наличии аутентифицированного доступа к web-интерфейсу;
- CVE-2016-8021: Возможность записи файлов в известные пути через манипуляции с web-интерфейсом;
- CVE-2016-8022: Повторное использование токенов аутентификации;
- CVE-2016-8023: Возможность подбора токенов аутентификации;
- CVE-2016-8024: Разбиение HTTP-запросов;
- CVE-2016-8025: Подстановка SQL-кода при наличии аутентифицированного входа.
Метод (Архивная копия от 8 ноября 2020 на Wayback Machine) работы эксплоита сводится к следующим шагам:
- Подбор токенов аутентификации при помощи уязвимостей 7 и 8;
- Создание подставного сервера доставки обновлений;
- Использование седьмой уязвимости для отправки запроса с использованием подобранного токена аутентификации для совершения операции обновления сервера;
- Сохранение в системе вредоносного скрипта при помощи уязвимости 6;
- Отправка специально оформленного запроса с использованием подобранного токена аутентификации. Через эксплуатацию 5 и 6 уязвимостей инициируется запуск процесса сканирования на наличие вирусов, который приведёт к выполнению подготовленного ранее скрипта с правами root.
Источники
править- Главная ссылка к новости (https://nation.state.actor/mca...) (Архивная копия от 8 ноября 2020 на Wayback Machine)
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.