ESET Endpoint Antivirus 6 na OS X – wykonanie kodu jako root

Jeśli ktoś używa tego produktu, warto się zaktualizować. Pokazał się dość szczegółowy odpis podatności, dającej dostęp na root na komputerze ofiary.

ESET Endpoint Antivirus 6, zlinkowany był statycznie z podatną biblioteką z 2013 roku (do parsowania XML-i), a ta z kolei bazuje na podatnym expacie z 2007 roku(!).

Na deser małe pocieszenie – podczas aktywacji ESET używał swojego serwisu https://edf.eset.com/edf – ale nie był sprawdzany certyfikat HTTPS.  Stąd też ścieżka ataku – MiTM (jednak trzeba go wykonać w dość specyficznym momencie) + podstawienie swojego certyfikatu i wykorzystanie błędu w expat.

Błąd został naprawiony w wersji 6.4.168.0 antywirusa wydanej 21.02.2017r.

–ms