CSIRTCV

Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

16/01/2012

Grave vulnerabilidad en productos McAfee

A través de Zero Day Initiative se ha publicado un grave problema de seguridad en productos McAfee que permite la ejecución remota de código por parte de atacantes. Aunque McAfee fue informada del fallo hace unos nueve meses, no se ha solucionado el problema, por lo que se ha publicado la vulnerabilidad.

Riesgo: Crítico

El fallo afecta a los productos SaaS (Security-as-a-Service) de la compañía que utilicen la librería myCIOScn.dll. En ella, el método MyCioScan.Scan.ShowReport acepta comandos que son luego ejecutados por otra función sin ningún tipo de autenticación. Este ActiveX permitiría entonces ejecutar código si la víctima visita una web especialmente manipulada. El ataque es muy sencillo de programar.

Lo más grave, es que la compañía fue avisada el pasado 1 de abril de 2011. Zero Day Initiative es la organización que ha gestionado la vulnerabilidad. Según la política de la compañía (impuesta en agosto de 2010) los fabricantes disponen de 180 días (seis meses) para corregir los errores reportados de forma privada. De lo contrario se harán públicos. Nueve meses después del primer contacto (no se ha especificado el porqué de esta demora adicional), la vulnerabilidad ha salido a la luz sin parche oficial.

Desde que en agosto de 2010 Tippingpoint decidiese poner un límite de 180 días a los fabricantes para corregir sus vulnerabilidades antes de hacerlas públicas, en 2011 se han sacado a la luz de esta forma hasta 29 alertas, que afectan a compañías como Cisco, HP, IBM o Microsoft. Esto significa que en ocasiones, para los grandes fabricantes, 6 meses sigue siendo "insuficiente" para publicar un parche que solucione ciertas vulnerabilidades reportadas de forma privada.

 

Sistemas Afectados:

McAfee SaaS Endpoint Protection 5.x

Referencias:

None

Solución:

La solución, como de costumbre en estos casos, pasa por activar el killbit del ActiveX para impedir que se instancie desde Internet Explorer. En concreto, se debe establecer el valor 0x00000400 en la rama del registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\209EBDEE-065C-11D4-A6B8-00C04F0D38B7
Notas:

http://www.zerodayinitiative.com/advisories/ZDI-12-012/
http://unaaldia.hispasec.com/2012/01/grave-vulnerabilidad-en-productos.html
http://secunia.com/advisories/47520/

Fuente: Hispasec una-al-día

CSIRT-CV