Eine Pufferüberlaufschwachstelle in den Routinen zur Verarbeitung von im LHA-Format komprimierten Dateien der McAfee AntiVirus Library kann von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode auf dem beherbergenden Rechnersystem auszuführen. Je nach Konfiguration kann dies mit administrativen Privilegien erfolgen, was zur Kompromittierung des beherbergenden Rechnersystems führt. McAfee stellt Information zur Behebung des Problems bereit. Laut McAfee sind aktuelle Versionen nicht betroffen.

Betroffene Systeme
Auf den Plattformen:

• Microsoft Windows Betriebssysteme
• GNU/Linux der verschiedenen Distributionen
• Nowell Netware

• McAfee AntiVirus Library vor der Version 4400
• Active Virus Defense
• Active VirusScan
• Active Threat Protection
• Active Mail Protection
• GroupShield für Microsoft Exchange
• GroupShield für Lotus Domino
• GroupShield für Mail-Server mit ePO
• LinuxShield
• NetShield für Netware
• PortalShield für Microsoft SharePoint
• SecurityShield für Microsoft ISA Server
• Virex
• VirusScan (alle Versionen)
• VirusScan(r) Enterprise(alle Versionen)
• WebShield Appliances
• WebShield SMTP

Nicht betroffene Systeme

• McAfee AntiVirus Library Version 4400

Einfallstor
Dateiheader einer LHA-komprimierten Datei, z.B. in einer E-Mail-Nachricht

Auswirkung
Ausführung beliebigen Programmcodes auf dem beherbergenden System mit den Privilegien des die McAfee AntiVirus Library aufrufenden Prozesses. Üblicherweise sind dies administrative Privilegien.
(remote system compromise)

Typ der Verwundbarkeit
Pufferüberlaufschwachstelle (buffer (stack) overflow bug)

Gefahrenpotential
sehr hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Die McAffe Antivirus Library enthält eine Schwachstelle in den Routinen zur Verarbeitung von Dateien, die im LHA-Format komprimiert sind. Die Länge von Headers einer solchen Datei werden unter besonderen Bedingungen in zu kleine Puffer geschrieben, was zu einem Überlauf führt. Dieser Umstand kann von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode mit den Privilegien des aufrufenden Prozesses auf dem beherbergenden Rechnersystem auszuführen. Üblicherweise handelt sich dabei um administrative Privilegien, was eine Kompromittierung des beherbergenden Systems zur Folge hat.

Der Angreifer muß zur erfolgreichen Ausnutzung der Schwachstelle einem betroffenen System eine entsprechend präparierte Datei übergeben, was z.B. durch das Senden einer E-Mail-Nachricht an einen Server erfolgen kann, der ein betroffenes Produkt zur Filterung von Viren benutzt.

Workaround

• Generelles Filtern von LHA-komprimierten Dateien, bevor diese den betroffenen Produkten zur Verarbeitung übergeben werden.

Gegenmaßnahmen

• Installation der McAfee AntiVirus Library Version 4400, bzw. den entsprechenden Produkten, die diese verwenden.
  McAfee stellt mittlerweile Information zur Behebung des Problems bereit.

Vulnerability ID

• CAN-2005-0644

Weitere Information zu diesem Thema

• McAfee Homepage (DE)
• Securityfocus 12832

Revisionen dieser Meldung

• V 1.0 (2005-03-18)
• V 1.1 (2005-03-19)
  • Anleitung zur Behebung des Problems von McAfee hinzugefügt
  • Vulnerability ID hinzugefügt

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/