McAfee VirusScan Linux企业版存在多个高危漏洞,请尽快升级

Intel Security旗下的安全产品McAfee VirusScan Linux企业版被曝受10个漏洞影响,由几个漏洞构成的攻击链可以完成以root权限远程执行代码。  

几个月之前,麻省理工学院林肯实验室的安全专家Andrew Fasano就在McAfee VirusScan Linux企业版(VSEL)中发现多个漏洞,这些漏洞存在于VSEL 1.9.2版本至2.0.2版本。他在博客中详细说明了这些漏洞,并表示某几个漏洞联合使用可以root权限执行远程代码。

10个漏洞,其中4个为高危

Fasano早在今年6月通过CERT/CC(美国计算机紧急事件响应小组协调中心)向Intel Security提交了漏洞报告,公开日期原定于8月。但是McAfee安全团队不同意,和Fasano协商后,决定将公开日期延期到9月甚至12月。三个月安静地过去了,时间来到了12月5日,McAfee提前公开了漏洞(原定于12月12日),顺势在12月9日的时候发布了安全公告并分配了这些漏洞的CVE ID。

McAfee VirusScan Linux企业版存在多个高危漏洞,请尽快升级

本次公布的泄露信息中,McAfee VirusScan Linux企业版受到各种漏洞的影响,包括信息泄露,跨站点请求伪造(CSRF),跨站点脚本(XSS),远程代码执行,特权升级,特殊元素注入,暴力枚举身份认证,SQL注入和任意文件写入的问题。

Fasano在博客中写道:

即使一个Linux系统运行着英特尔的McAfee VirusScan企业版,它也会由于多个安全漏洞而受到远程攻击。其中一些漏洞组合起来甚至能以root权限执行远程代码。

McAfee VirusScan Linux企业版存在多个高危漏洞,请尽快升级

10个漏洞中4个高危漏洞,其余6个中等。

利用4个漏洞来构建攻击链

Fasano解释了使McAfee VirusScan Linux企业版被攻陷的整个攻击链。

所有的一切始于其中一个漏洞,该漏洞CVE-2016-8022允许身份认证token的远程使用,这里还需要另一个漏洞(CVE-2016-8023)暴力枚举破解的配合。

攻击者部署一台恶意更新服务器,随后触发CVE-2016-8022漏洞,让客户端产品会去使用这台恶意升级服务器。然后,攻击者需要利用CVE-2016-8021任意文件写入漏洞来构建从升级服务器获取的恶意脚本。最终利用CVE-2016-8020提权漏洞,使得这个恶意脚本可以以root权限来执行。

最后一步,再发送带身份认证token的恶意请求来启动病毒扫描,这样就能实现以root权限执行恶意脚本了。总括一下,整个过程是下面这样的:

“要在一台远程设备上以Root权限执行代码:

1.利用CVE-2016-8022漏洞和CVE-2016-8023漏洞,来暴力破解身份认证token;

2.开始运行恶意升级服务器;

3.利用CVE-2016-8022漏洞,发送带身份认证token的请求至升级服务器;

4.利用CVE-2016-8021漏洞,迫使目标设备在其系统中构建恶意脚本;

5.利用CVE-2016-8020与CVE-2016-8021漏洞,发出带身份认证token的恶意请求,来启动病毒扫描过程,但实际上就是执行恶意脚本;

6.恶意脚本会在目标设备上以Root权限执行。

注意,利用此漏洞取决于是否存在用户登录Web界面时生成的有效登录token。 这些token仅在登录后大约一小时内有效。”

解决方案

受到漏洞影响的用户应尽快升级到Endpoint Security for Linux(ENSL)10.2或更高版本,VSEL产品很快就会寿终正寝。

CERT / CC美国计算机紧急事件响应小组协调中心)也发布了安全公告,告知了客户McAfee VirusScan Linux企业版的不足。

“McAfee已经停止了Virus Scan 企业版产品,倾向于使用新的McAfee Endpoint Security产品来解决这些漏洞。 建议受影响的用户尽快升级到Endpoint Security 10.2版本或更高版本。 该升级服务向现有用户免费提供。”

* 参考来源:securityaffairs,FB小编bimeover编译,转载请注明来自FreeBuf.COM

转载请注明:安全主题 » McAfee VirusScan Linux企业版存在多个高危漏洞,请尽快升级

赞 (0)

评论 0

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址