业内动态


趋势杀毒曝远程执行漏洞 可盗取用户所有密码

塔维斯·奥曼迪(Tavis Ormandy),谷歌信息安全工程师,发现趋势科技杀毒产品中存在漏洞,可致任意网站执行远程代码盗取用户的所有密码。趋势科技表示,已修复该漏洞及另一个远程执行漏洞。

本周一趋势科技针对此漏洞回应,“根据我们的标准漏洞响应流程,与奥曼迪协作,确认并解决了这个漏洞。客户目前可通过自动更新修复此问题。”

但奥曼迪公开了他与趋势官方的来往邮件,隐晦地表达出他对该公司行动缓慢的不满。

“这意味着网络上的任何人都能完全静默地偷走你的所有密码,还能在无需用户互动的情况下执行任意代码。我真心希望你们能清楚问题的严重性,因为我自己是深深被这个吓到了。”

趋势的杀毒产品有个密码管理器,用户可以选择将密码导出到这里面。该管理器是用JavaScript写的,开启了多个HTTP远程过程调用端口来处理API请求。奥曼迪在其中轻易地找到了一个可以接受远程代码的端口,允许访问存放在该管理器中的密码的API也被他找到一个。

奥曼迪总共找到了70多个暴露在互联网上的API。他还没对所有找到的API进行安全问题调查,但他建议趋势科技聘用外部顾问来审计这些代码。

杀毒软件通常以高权限运行于操作系统之上,意味着其中的漏洞若被利用,黑客将几乎能对计算机为所欲为。卡巴斯基、ESETAvastAVG、英特尔安全(前迈克菲)和Malwarebytes,过去7个月里,众多杀毒软件厂商的产品中检出了数十个严重漏洞。

E-mail:market@gooann.com

Fax:010-51626887-816