Vulnerabilidades críticas en productos de Symantec (Parchea!)
Tavis Ormandy, investigador del Project Zero de Google dijo: "Estas vulnerabilidades son tan malas como se expresan. No se necesita ninguna interacción del usuario para explotar las vulnerabilidad con el privilegio más alto posible. En algunos casos en Windows, el código vulnerable es cargado por el kernel, dando como resultado la corrupción remota del núcleo."
En el post publicado poco después por Symantec, se enumeran 17 productos empresariales y ocho del consumidor final que son vulnerables.
Los productos vulnerables son:
- Norton Security, Norton 360, and other legacy Norton products (All Platforms)
- Symantec Endpoint Protection (All Versions, All Platforms)
- Symantec Email Security (All Platforms)
- Symantec Protection Engine (All Platforms)
- Symantec Protection for SharePoint Servers
Debido a que Symantec utiliza un controlador y un filtro para interceptar todas las entrada/salida del sistema, sólo enviando un enlace o un correo electrónico a la víctima, es suficiente para ejecutar el exploit sin que el usuario interactué. Al no ser necesario ninguna interacción, se trata de una vulnerabilidad "wormable" con consecuencias potencialmente devastadoras para los clientes de Norton y Symantec.Un atacante podría comprometer fácilmente toda la red de la empresa utilizando una vulnerabilidad como esta.
Las fallas residen en el motor que los productos utilizan para la descompresión del malware y la forma en que se analizan sus cargas maliciosas. Los "unpackers" trabajan realizando el análisis de código contenido en los archivos recibidos, antes de que se permita la descarga o ejecución de los mismos. Debido a que los unpackers de Symantec funcionan directamente en el núcleo del sistema operativo, los errores pueden permitir tomar el control completo de la máquina vulnerable. Los unpackers deberían ejecutarse en un "sandbox", que aísla el código no confiable de partes sensibles del sistema operativo.
El investigador dijo que el exploit de la prueba de concepto que ideó expone al unpacker a registros de tamaño poco frecuente y esto también causa in desbordamiento de búfer. Además, también encontró una biblioteca de software abierto que contiene código vulnerable desde hace al menos siete años.
Debido a ques estos unpackers y emuladores contienen una gran cantidad de vulnerabilidades, desde hace un tiempo fue posible escribir pruebas de concepto para Comodo, ESET, Kaspersky, Fireeye y muchos otros. Una lista de las vulnerabilidades adicionales de Symantec está aquí.
Los usuarios finales o los administradores debe instalar manualmente las correcciones cuanto antes.
Fuente: SeguInfo
Es posible que los auditores de seguridad tengan que ponerse en contacto con cargos importantes dentro de la empresa para tener una mejor perspectiva de las políticas y la estructura de la misma. Por lo tanto, informar a las partes interesadas y a los socios internos y externos sobre la auditoría es un paso crucial. Esto ayuda a todos a prepararse de antemano en caso de que el auditor pida documentación u otros datos valiosos basados en sus hallazgos. Por lo tanto, antes de una auditoria de seguridad informatica, discuta con sus auditores con quién podrían necesitar hablar durante el proceso y asegúrese de que todas las partes interesadas necesarias estén en la reunión con sus herramientas y archivos empresariales.
ResponderEliminar