De Amerikaanse overheid heeft gewaarschuwd voor een beveiligingsprobleem in Symantec Endpoint Protection 11. Door de manier waarop de virusscanner omgaat met .cab-bestanden, kan geheugencorruptie optreden. Een aanvaller kan vervolgens eigen code uitvoeren.
Een aanvaller zou het beveiligingsprobleem kunnen misbruiken door op afstand een .cab-bestand aan een gebruiker met Symantec Endpoint Protection 11 en versie 5.2 van de Symantec Scan Engine te serveren, bijvoorbeeld via e-mail of via een download. Bij het scannen van het .cab-bestand gaat het mis; er kan dan geheugencorruptie optreden. Dat maakt het voor een aanvaller mogelijk om op beheerdersniveau eigen code uit te voeren, waarschuwt de ict-beveiligingsorganisatie van de Amerikaanse overheid.
De getroffen versies zijn oude versies van Endpoint Protection en de Scan Engine; inmiddels is bijvoorbeeld versie 12 van Endpoint Protection uit. Symantec raadt gebruikers aan om over te stappen op de nieuwe versie, omdat die over een nieuwere scan-engine beschikt die niet getroffen zou zijn. Het bedrijf is echter niet van plan om versie 11 van de software te patchen. Gebruikers van die software blijven dus kwetsbaar.
De Amerikaanse overheid adviseert gebruikers om data execution prevention in Windows in te schakelen; dat kan helpen om het uitvoeren van malafide code te voorkomen. Op 64bit-versies van Windows is dep automatisch ingeschakeld, mits de hardware deze feature ondersteunt. Ook het gebruik van Microsofts enchanced mitigation experience toolkit kan helpen om het beveiligingsprobleem te omzeilen.
Of het beveiligingsprobleem door kwaadwillenden is misbruikt, is onbekend. Opvallend genoeg werd eerder dit jaar bekend dat de broncode van onder meer Symantec Endpoint Protection 11 zou zijn buitgemaakt. Aanvallers zouden de broncode hebben verkregen bij een derde partij. De broncode kan aanvallers helpen bij het ontwikkelen van exploits, maar er is geen bewijs dat dit in dit geval is gebeurd.
Maandag bleek uit onderzoek van een beveiligingsexpert van Google dat beveiligingssoftware van Sophos diverse kwetsbaarheden bevat, die onder meer het op afstand uitvoeren van code mogelijk maken. De meeste kwetsbaarheden zijn inmiddels gepatcht. Sophos benadrukt dat er geen bewijs is dat de kwetsbaarheden door kwaadwillenden zijn misbruikt.
/i/1309698251.png?f=fpa)
:strip_exif()/i/1221621446.gif?f=fpa)
/i/1321344025.png?f=fpa)
:strip_exif()/i/1260528477.gif?f=fpa)
:strip_icc():strip_exif()/u/23158/crop6639d39f6d4f1_cropped.jpg?f=community){kind=small}
/u/75681/Windows-10-small.png?f=community){kind=small}
:strip_exif()/u/27690/Misc_-_Boy.gif?f=community){kind=small}
:strip_icc():strip_exif()/u/296384/AMDINSIDE.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/179238/crop5641af1748ed7_cropped.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/386526/crop5e79fc3cdf222_cropped.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/234955/crop55ec04355531f_cropped.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/58498/crop639191f4db17e.jpg?f=community){kind=small}
