Elevación de privilegios mediante Dr. Web Antivirus

VSantivirus No. 976 - Año 7 - Lunes 10 de marzo de 2003

Elevación de privilegios mediante Dr. Web Antivirus
http://www.vsantivirus.com/vul-drweb-bufer.htm

Por David Fernández Madrid
idoru@videosoft.net.uy

Asunto: Elevación de privilegios mediante Dr. Web Antivirus
Versiones afectadas: 4.28 y más antiguas
Versiones inmunes: 4.29b

Descripción:

Dr. Web es un rápido y eficiente producto antivirus que consta de dos módulos, monitor y escáner. Se ha descubierto una vulnerabilidad al menos en el módulos escáner que podría hacer que un usuario con permiso de escritura en el disco duro pudiera ejecutar código con permisos de administrador. El módulo monitor no es proporcionado con la versión demo por lo que no fue probado pero podría estar igualmente afectado.

En concreto el fallo es un desbordamiento de buffer que se produce al procesar una ruta hasta una carpeta o archivo extremadamente larga. Al intentar escanear una ruta de este tipo, Dr.Web se cierra con una violación de acceso. El puntero de instrucción EIP es sobrescrito por la ruta hasta el archivo, haciendo esto posible ejecutar código.

A continuación se adjunta un script que al ejecutarlo crea la estructura de directorios que provocará el fallo en Dr. Web al escanearla.

SET A = AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

SET B = BBBBBBBBBBBBBBBBBBBBBBBBBBBBB
BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB
BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB

mkdir \\?\c:\%A%
mkdir \\?\c:\%A%\%B%

Solución sugerida: Actualizar el software a la versión 4.29b o superior

Nota VSA: Esta forma de crear los directorios no funciona en todos los sistemas

(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com