Dziurawe antywirusy

[KopalniaWiedzy.pl 357]

W produktach trzech znanych firm antywirusowych, Kaspersky, McAfee i AVG, znajduje się identyczna dziura. Oprogramowanie alokuje na potrzeby odczytu i zapisu oraz wykonuje uprawnienia w takich obszarach pamięci, które mogą być łatwo przewidziane przez napastnika. Dzięki temu atakujący może wstrzyknąć szkodliwy kod.

Dziura została znaleziona przez izraelską firmę enSilo. Występuje ona w AVG Internet Security 2015, McAfee VirusScan Enterprise 9.9 oraz Kaspersky Total Security 2015.

Tomer Bitton, wiceprezes ds. badawczych enSilo mówi, że wystąpienie identycznej luki u trzech dużych znanych firm to wynik ich niewłaściwych praktyk programistycznych. Firmy antywirusowe przyjęły strategię, w ramach której tak piszą swoje programy, by omijać zabezpieczenia wbudowane w Windows, stwierdza. To zaś oznacza, że przestępcy mogą wykorzystać oprogramowanie antywirusowe do ominięcia zabezpieczeń i przejęcia kontroli nad systemem operacyjnym. Microsoft, zdając sobie sprawę z faktu, że programy mogą zawierać luki, zastosował takie mechanizmy jak Data Execution Prevention (DEP), która zapobiega wykonywaniu danych jak kodu czy Address Space Layout Randomization (ASLR), której zadaniem jest przypadkowe przyporządkowywanie adresów w pamięci. Problem jednak w tym, że firmy antywirusowe omijają te zabezpieczenia, umieszczając swoje dane w łatwych do odgadnięcia obszarach pamięci. Zdaniem specjalistów z enSilo, problem nie jest ograniczony wyłącznie do oprogramowania antywirusowego.

« powrót do artykułu

[RRRRR 0]

Oprogramowanie alokuje na potrzeby odczytu i zapisu oraz wykonuje uprawnienia w takich obszarach pamięci

W oryginale "The softwares would allocate memory for read and write, as well as execute permissions", czyli "Oprogramowanie alokuje pamięć z uprawnieniami zarówno do odczytu i zapisu jak i wykonania".

'Prawo do wykonania' oznacza, że procesor może wykonywać instrukcje z tego obszaru pamięci. Gdyby próbować kazać procesorowi wykonywać instrukcje z obszaru pamięci bez tego uprawnienia to zgłosi on wyjątek.

[topiq 2]

 

[...]

McAfee VirusScan Enterprise 9.9 

[...]

 

Nie ma takiej wersji. W oryginale jest poprawnie:  McAfee VirusScan Enterprise 8.8