Luka w produktach McAfee

[KaMiL]

Zero Day Initiative (ZDI) opublikowało informację o problemie w produktach Security-as-a-Service (SaaS) autorstwa McAfee.

O odnalezionej w nich luce McAfee zostało poinformowane jeszcze w kwietniu 2011 roku i do tej pory producent oprogramowania antywirusowego nic z tym nie zrobił. Dlatego też ZDI zdecydowało się upublicznić tę informację.

Luka dotyczy konkretnie biblioteki myCIOScn.dll. Okazuje się, że znajdująca się w niej metoda MyCioScan.Scan.ShowReport() niezbyt dokładnie filtruje treść wprowadzaną przez użytkownika i jest w stanie uruchamiać polecenia w kontekście przeglądarki. Do ataku z wykorzystaniem tego błędu może dojść po otwarciu specjalnie spreparowanego pliku bądź strony internetowej.

ZDI nie określa wprost, które produkty z serii SaaS są dotknięte luką.

Źródło: hacking.pl

[ichito]

Usługi Saas dotyczą raczej infrastruktury firmowej i jest tym groźniejsze, ponieważ przestrzeganie zasad bezpieczeństwa w firmach niejednokrotnie całkowicie leży. Jak się czyta publikowane czasem statystyki wycieku/kradzieży danych, włamań do systemów korporacyjnych i podobnych wpadek, to włos się może zjeżyć na głowie, jak ludzie mogą być bezmyślni.
Dodanie do tego luk w zabezpieczeniach infrastruktury może sprowadzić ochronę właściwie do zera.