Bug in Symantec AntiVirus maakt remote exploit mogelijk

Symantec heeft bevestigd dat er een kwetsbaarheid ontdekt is in zijn antivirusprogramma dat ervoor kan zorgen dat een hacker op afstand toegang tot een systeem kan krijgen. Met behulp van een buffer overflow in de scan engine kunnen aanvallers code uitvoeren op een kwetsbaar systeem, zodat het lek de stempel 'high risk' meekreeg. Het gaat hierbij specifiek om de controle van invoer van gebruikers betreffende http-verzoek. Om het lek succesvol te misbruiken moet het overigens wel mogelijk zijn op http-verzoeken naar poort 8004 te versturen. Naast het verwerven van controle over het systeem, zijn gebruikers echter ook vatbaar voor DoS-aanvallen op hun systeem.

Doordat het lek zich in de scan engine versie 4.0 en 4.3 bevindt, zijn verschillende producten die op de bedrijfswereld gericht zijn en gebruikmaken van deze engine ook vatbaar voor het lek. Er wordt dan ook aangeraden zo snel mogelijk de patches te installeren. Een workaround bestaat erin de user interface uit te schakelen door als poortnummer '0' in te stellen en de scan engine opnieuw te starten. Om de interface weer te kunnen gebruiken moet het poortnummer teruggezet worden naar 8004/tcp in het configuratiebestand.

Reacties (61)

[Verwijderd]

Je kunt beter een niet echt bekende (maar toch wel goede) virus scanner gebruiken.
Want de meeste hacks etc worden gezocht door hackers bij de meest bekende software omdat ze daarbij de meeste mensen kunnen hacken.

En daarnaast is duurt het bij mij 30 sec tot 1 minuut langer met opstarten als ik norton 2005 op mijn pc heb staan

[Verwijderd]

Mwoah.. ik heb liever een fabrikant waarvan ik zeker weet dat die snel en adequaat reageert op meldingen van exploits, zoals Symantec.

De dag dat software niet vatbaar is voor exploits is de dag dat ik gekleed in een roze jurk nijlpaarden aan het overgooien ben met Bill Clinton in Alaska.. not likely. Je hebt gelijk dat bekendere producten eerder getarget worden, maar je mag bij dergelijke producten ook rekenen op betere support.

Als je dan toch voor maximale veiligheid wil gaan, dan houdt niets je tegen om meerdere virusproducten te draaien, wel.. ? Of een virusscanner en firewall apart ? Producten als die van Trend met een gecombineerde scanner/firewall vind ikzelf, instinctief, riskant. Daar gebruik ik liever aparte producten voor.

Een voordeel van 'kleinere' pakketten is wel vaak dat er minder GUI omheen zit, met daardoor ook minder kans op GUI exploits, da's dan ook wel weer zo.

[YellowOnline]

Mmh, ik raad je toch niet aan verschillende anti-virusscanner tegelijk te draaien. Menig systeem draait in slow-motion met twee virusscanners. Soms is het resultaat zelfs dat geen van beiden naar behoren werkt. Vaak crasht de boel gewoon.
Het hangt wat van de virusscannercombinatie af wat er precies gaat gebeuren, maar the point is: één virusscanner is genoeg.

[Verwijderd]

Zolang je ze beide antivirussytemen niet tegelijkertijd draait kan je er prima meerdere gebruiken (die je b.v. op verschillende tijden een wekelijkse / dagelijkse scan laat uitvoeren).

[Verwijderd]

Zolang je ze beide antivirussytemen niet tegelijkertijd draait kan je er prima meerdere gebruiken (die je b.v. op verschillende tijden een wekelijkse / dagelijkse scan laat uitvoeren).

dus jij installeert een anti-virus voor deze nadien af te zetten........

[Lucky-Shirt]

Tsja, ik doe dit wel. Ik heb de virusscanner eigenlijk alleen aanstaan als ik op het internet zit. Ben ik bezig met spellen of bijv. 3d studio max, dan gaat de virusscanner uit, bij spellen zelfs de firewall.

Of het verstandig is? Weet ik niet, ik heb in ieder geval nog nooit last gehad van een virus en ik geloof ook niet dat mijn PC een zombie o.i.d. is.

Ik werk nog op een 1 Ghz proc. en elke beetje processorkracht dat ik kan besparen is mooi meegenomen.

[Verwijderd]

Virusscanners (en firewalls) draaien vaak ook hun eigen drivers, deze drivers worden niet uitgezet als je de GUI uitzet maar het zijn juist wel die drivers die problemen kunnen veroorzaken.

[Verwijderd]

Het probleem is al die knoppen met allemaal leuke plaatjes.
Maar op een minder goed systeem draait dat niet echt soepel.

Al zouden ze een lite versie uitbrengen dan zou ik het nog wel een keer proberen met norton.

[-=bas=-]

Dan gebruik je toch gewoon zoals als Grisoft's AVG?
Gratis en het werkt uitstekend.
Met Norton ging alles iedere keer naar de knoppen.

[Arieke]

daar ben ik niet mee eens, een van men pc heb ik AVG opstaan en die heeft redelijk veel last van virussen, en ik kan er weinig vanaf halen. Als ik dan norton erop zetten waren ze allemaal mooi weg.

[Countess]

weet je dan wel zeker dat het virusen zijn want ik heb eigenlijk al een paar keer andersom meegemaakt
en AVG is puur voor virusen en niet voor spyware/adware. daar heb je andere programas voor.
norton probeert het allebij te doen, maar kwa spyware zijn ze gewoon niet goed genoeg om erop te vertrouwen.

verder is norton zwaar log en traag, en AVG klein, geheugen efficient, gebruikt weinig resources(aan of uit maakt bij mij geen merkbaar verschil in bv benchmarks ofzo in tegenstelling tot norton)
en het beste van allemaal, AVG valt me nooit lastig tenzij er WEL wat aan de hand is. norton valt me continu lastig als er niks aan de hand is.

[Sfynx]

Zucht... Norton AntiVirus != Symantec AntiVirus.

Norton heeft inderdaad een kleuter-GUI zoals KingOfDos het omschreef. Norton is de consumenten/particulieren-lijn, en die vinden blije programma's blijkbaar leuk.

Hier gaat het over Symantec AntiVirus en dat is een van de soberste maar effectiefste virusscanners die ik ooit heb gezien. Bedoeld voor bedrijven die geen fratsen willen, maar alleen scannen, en alles op afstand configureren en deployen. Stiekem ook gebruikt door particulieren die geen behoefte hebben aan een graphics demonstatie die toevallig ook op virussen kan scannen.

Het lijkt er bijna op dat Symantec iedereen aan de duurdere bedrijvenversie wil door de consumentenversie vreselijk slecht te maken...

[To_Tall]

Het gaat hier om de symantec versie
partuculiere versie (norton) heeft hier geen problemen mee

[badflower]

Deze exploit verbaasd me helemaal niets. Ik vind dat Symantec, net als McAfee al jaren voorbouwd op hun merknaam, betere alternatieven zijn zeker aanwezig.

Ik heb al veel virusscanners gebruikt en versleten, maar NOD32 verdiend echt mijn verkeur. Altijd in de top 3 beste virusscanners, en daarbij ook nog eens weinig resources innemend. Je merkt eigenlijk niet eens dat hij scant. Elke dag een aantal updates.Vergelijk dat maar eens met Symantec, een update per week. Bovendien bestaat de scanner uit verschillende onderdelen die naar gelangen uit/aangeschakeld kunnen worden en aangepast kunnen worden. Helaas is hij niet gratis, maar duur ook niet.
Echt een aanrader!

www.nod32.com

[WhiteDog]

Symantec Corporate Anti-Virus is anders ook een lichte client waarbij je zowat alles kan aan-of uitzetten. Er zijn dagelijks updates als je dat wil (en zelfs hourly beta builds).

De gewone produkten van Symantec vind ik ook bagger maar de Corporate versies kan ik weinig slechts over zeggen

[gjkamstra]

Zeker een aanrader, en ook beschikbaar voor Windows XP-64. Dat kunnen de grote spelers als MCAfee en Symantec nog niet zeggen.

[No13]

Jawel hoor, symantec corporate is er ook voor windows XP x64 edition. Dat draai ik hier op mijn AMD 64bit 3000+ (met winxp 64bit)

[cyspoz]

Aan de andere kant komt een groot en bekend bedrijf zoals Symantec vaak snel met oplossingen (patches ofzo) op de proppen. Bovendien als je de zakelijke software van hun gebruikt heb je zoiezo veel betere en snellere service.

[Eddict]

wie heeft het hier over norton?!?! het artikel iig niet...

[Verwijderd]

Over de snelheid van Norton is een heel simpel antwoord te maken, installeer de corporate versie, iig bij ons op werk, en vele andere bedrijven, kunnen werknemers een versie voor thuis (gratis en legaal) mee krijgen, zeker een goede optie, hij is niet flashy, wel snel, wel goed en betrouwbaar.

En als je dan echt leuk bezig bent installeer je ook de server versie, download je ieder kwartier de (mogelijke) updates en push je die naar je werkstations .

[grimlock]

Het zou zo mooi zijn als we eens het verschil wisten tussen SAV en NAV...

[Sir Dancelot]

Wellicht handig om erbij te vermelden dat dit alleen van toepassing is als je de "web-based Administrative Interface" geinstalleerd hebt. Verder heeft versie 9 en hoger een 5.x+ scanengine, dus gaat het hier om relatief oude of hele specifieke versies.

[PerfectPC]

Ik wil voor eens en altijd 1 ding duidelijk maken:

Norton Antivirus is NIET hetzelfde als Symantec Corporate Antivirus !
KNOOP DIT GOED IN ULDER OREN ! (ja, voor 1 keer is schreeuwen toegestaan)

De Norton Antivirus is idd een grafisch overladen en onperformant boeltje. Symantec Corporate Antivirus (toevallig van dezelfde firma) is gericht op gebruik in professionele omgevingen en gedraagt zich ook een heel pak professioneler.

Ik dank u voor uw aandacht en voor uw goede wil om beide uit elkaar te houden

[Verwijderd]

Helemaal mee eens, de Corporate Edition draait hier als een zonnetje. Computer start niet merkbaar trager op (zal waarschijnlijk wel zo zijn, maar verwaarloosbaar), de interface is uiterst minimaal (helemaal niet bloated), het programma blijft ook steeds op de achtergrond. Dagelijks gaat hij automatisch de virusdefinities updaten (zelf ingesteld) en dan krijg ik gewoon een klein venster met een verloopbalkje, meer niet. Ik ben uiterst tevreden van de Corporate Edition en raad het aan iedereen aan.

[Conzales]

Ook mee eens. Ik gebruik ook de Corp Edition. Ben daar erg tevreden mee. Netjes het hele netwerk beschermd via een centrale server die de updates binnenhaalt en de policies van de clients beheerd. Mooi pakket...

Het heeft overigens niet zo heel veel zin om 'm dagelijks te laten controleren op updates, omdat die meestal op de woensdagavond worden uitgegeven...

[Verwijderd]

Wil je zeggen dat er slechts 1 keer per week zo'n update komt? En dat steeds op woensdag?

Dus als er donderdag een gevaarlijk virus uitbreekt, en ze hebben donderdagavond een path gemaakt dan kan ik die pas downloaden op woensdag?

Ben je dat zeker? Het zou mij verbazen..

[rolands]

In principe heb je 1 keer per week updates, tenzij er kritieke updates tussendoor zijn, die worden dan direct uitgebracht.

Roland

[Conzales]

Hmm, little-bit-little-to-late

Als er echt een uitbraak is, wordt er meteen een patch of update uitgebracht (dezelfde dag of de volgende). Maar het vaste 'pack' komt op de woensdag uit naar mijn weten. Probeer het maar door elke dag op update te klikken en te kijken wat er gebeurd. (Of je def.-versie te controleren)

[Verwijderd]

Nee hoor, Symantec Corporate hierzo heeft de laatste maanden bijna iedere dag een update.

[foppe-jan]

het maakt niet uit of je dit nou uitlegt of niet.. grote bedrijven moeten altijd geflamed worden in dit soort meldingen, vooral door de tweaker die een "kleine" scanner gebruikt, want die is natuurlijk altijd beter, less bloated, minder "gevoelig voor exploits".. bla bla

eigenlijk zijn het gewoon elke keer dezelfde argumenten toegepast op een ander product.. of dat nou een AVscanner is, een OS, of een tekstverwerker
met moet gewoon altijd ff zijn (loze) ei kwijt, want niemand schiet wat op met dingen als

Altijd grappig om te lezen dat mensen zich weer laten verleiden door de grootste fabrikant. Keer op keer komt niet Symantec als beste uit de bus. Afijn, moet iedereen ook maar lekker voor zichzelf weten.
Hier echter kaspersky anti-virus met om de 3 uur automatisch update.

terwijl de beste jongen niet eens weet dat het gaat over een bedrijffsoplossing ipv (brakke) personal edition..

Dan gebruik je toch gewoon zoals als Grisoft's AVG?
Gratis en het werkt uitstekend.
Met Norton ging alles iedere keer naar de knoppen.

en

Symantec antivirus staat iig op mijn KGUI lijst. Net als Office 2003, Windows XP, etc. Het pakket is veel te zwaar vanwegen de KGUI.

Geef mij maar McAfee, geen stomme (K)GUI, stabiel en vangt alle virussen netjes af. Zeker met de EPO draait het lekker.

KGUI = Kleuter GUI. Gradientjes, onmouseover effecten, whatever.

wederom gaat het hier over de personal edition, en daarnaast zou ik persoonlijk niet willen beweren dat McAfee nou beter is dan Symantec corporate AV, waar het in dit artikel over gaat..
en KGUI: wat een kinderachtig hokjesdenken toch weer.. hoezo heeft McAfee dan geen "stomme" gui? hij zal toch een GUI hebben, dus omdat die lelijk/ouderwets aandoet heb jij gelijk maar zoiets van ooh, dit is beter.. wederom een *waardeoordeel* verdraaid naar feit.. en dan draait het lekker met performance-enhancing drugs uit de wielerwereld?

nou ja, ik kan uit deze thread blijven quoten, maar dit wordt toch als "flame" gezien, dus het zal wel weer snel gecensureerd worden..
Maar wat ik zeggen wilde: stop nou eens met dit soort zinloze posts maken die ons niets vertellen over het product zelf, noch over het (om willekeurige reden) door jou in gebruik zijnde product..

[Conzales]

maar dit wordt toch als "flame" gezien, dus het zal wel weer snel gecensureerd worden..

Dan zijn er altijd wel weer mensen die censuur ongedaan maken.

[small] * 786562 Conzales

[SlagerBlom]

Altijd grappig om te lezen dat mensen zich weer laten verleiden door de grootste fabrikant. Keer op keer komt niet Symantec als beste uit de bus. Afijn, moet iedereen ook maar lekker voor zichzelf weten.
Hier echter kaspersky anti-virus met om de 3 uur automatisch update.

[cyspoz]

Ik zal niet ontkennen dat de virus definities van Symantec altijd volledig en goed zijn evenals de detectie. Staat echter wel tegenover dat ze veel kwaliteit bieden en goede management functies in hun corporate versie waar ik erg tevreden over ben.

[MOmax]

Potverdorie, heb jij even geluk zeg!

Kaspersky erkent probleem met virusscanner (ZDNet, 5 okt 2005)

[Sorki]

Blij te lezen dat ik toch niet de enige ben die al die rommel van symantec niet moet

[GREENSKiN]

Ik verbaas me nog steeds over de gedrochten die virusscanners worden genoemd. Timmer je PC en netwerk fatsoenlijk dicht, en je hebt nergens last van. Ja, dat houdt ook in geen Outlook of Internet Explorer gebruiken.

Beschouw het internet als niet-trusted. Files die binnenkomen kan je laten scannen door je server, bijvoorbeeld met de gratis en open source ClamAV.

Mocht je het niet met m'n betoog eens zijn, en toch een virusscanner lokaal als deamon te willen draaien: van ClamAV is ook een gratis Windows versie. Eventueel ook handig voor offline scans. Iniedergeval stukken beter dan die Symantec rommel!

[Verwijderd]

Ik hoop niet dat jij een bedrijf adviseert over hun beveiliging.
Helaas komen namelijk niet alle virussen via "het internet" binnen. Een groot probleem zijn ook de notebooks die mensen overal en nergens mee verbinden. Probeer die maar eens te beschermen met een AV pakket op je server. Vooral als men ze thuis aan het internet koppelt

Daarnaast heb je bijvoorbeeld zoiets als een VPN. Een computer kan via een VPN verbinding contact hebben met je bedrijf maar tegelijkertijd van een onveilige internetverbinding gebruik maken voor andere zaken. Om maar niet te praten over memorysticks of CDs

Ik kan jou aanbeveling van ClamAV noch je afwijzing van Symantec dan ook niet echt serieus nemen. Je weet totaal niet waar je het over hebt.
(Geeft niet, je bent niet de enige op tweakers)

[GREENSKiN]

Laptops van buiten: untrusted.
VPN, of iedere vorm van externe toegang tot het netwerk: untrusted.
Memorysticks, CDs, downloads, iedere externe media: untrusted.

Extern: untrusted. Comprende?

Om maar niet te spreken over gebruikers die na een viruswaarschuwing toch niets ondernemen.

Virusscanners zijn een lapmiddel. Trust no-one!

[Verwijderd]

In sommige gevallen moet je wel IE gebruiken omdat het anders gewoon niet werkt! Voorbeeld? RemotelyAnywhere (activeX) Ik kan nog steeds niet zonder IE. En ik zie het probleem ook niet echt als je gewoon goed oplet wat je download en installeerd is er niks aan de hand.

[KatirZan]

Dit is volgens mij al enige tijd bekend onder bepaalde mensen, vraag me af waarom dit nu pas uitkomt?

[sphere]

Je weetd at je zelf ook nieuws kan submitten? Wellicht dat je voortaan dan niet zo lang hoeft te wachten

http://www.tweakers.net/etc.dsp?Action=Newssubmit

[KatirZan]

eerlijk gezegd is het "nieuws" wat ik te horen gekregen heb geen "submit nieuws"

eerder in exploit basis

[telenut]

virusscanners die zelf voor lekken zorgen...
Ben ik dan de enige die geen virusscanner draait op zijn pc, en toch nooit problemen heeft men virussen?

[njh]

dan weet je ook niet of je een virus hebt

[Andros]

Als z'n homepage steeds aangepast wordt naar een of andere webcamsite dan zal ie tog wel iets gaan vermoeden zeker

[SED]

nee, jij bent gewoon naief en waarschijnlijk de bron van heel wat virusverspreidingen onder je "vrienden".

[Verwijderd]

Denk dat veel mensen wel slim genoeg zijn om te weten wat niet te vertrouwen is en wat wel, ik zelf draai ook geen virusscannen en ook niet nodig.. voor de zekerheid instelleer ik avg free 1x per maand, scan men hele hdd en vind nix.

[telenut]

net niet, ik let op wat ik installeer, en ik surf met veilige instellingen en browsers. Voor de rest is al mijn software steeds up to date. En als er processen draaien op de achtergrond die ik niet ken zoek ik uit wat het is, en laat ik desnoods enkele online virusscanners hun werk doen.
Achter een router zitten is uiteraard ook een groot voordeel, Zo is een firewall ook al niet meer nodig.

[Verwijderd]

Mmh, ik raad je toch niet aan verschillende anti-virusscanner tegelijk te draaien. Menig systeem draait in slow-motion met twee virusscanners. Soms is het resultaat zelfs dat geen van beiden naar behoren werkt. Vaak crasht de boel gewoon.
Het hangt wat van de virusscannercombinatie af wat er precies gaat gebeuren, maar the point is: één virusscanner is genoeg

Meeste virus scanners uninstalleren eerst je "oude" anti virus scanner.
Zodat het niet eens mogelijk is om er 2 of meer te instaleren.

[braminator80]

Sinds de komst van Norton AV 2004 ben ik al overgestapt naar Kaspersky AV... Werkt in mijn ogen een stuk sneller (vooral opstarten), verder zijn ze daar ook erg snel met updaten. Nee voor mij geen Norton meer, of ze moeten met een normale GUI op de proppen komen.

(ik ken het verschil tussen de corporate versie en de 'particuliere' versie )

[Conzales]

Waarom kom je dan hier met NAV aanzetten? Die is al sinds versie 2003 waardeloos (ongeveer; ben daar ergens gestopt met versies bijhouden).

[dj.verhulst]

ze hebben het wel moeilijk bij symantec .....