Virenscanner-Protokollfunktion führt fremden Code aus [Update]
In den Virenscannern von Bitdefender wurde eine Schwachstelle bei der Verarbeitung von Verzeichnis- und Dateinamen entdeckt, durch die möglicherweise Code eingeschleust und ausgeführt werden kann.
In den Virenscannern von Bitdefender wurde eine Schwachstelle bei der Verarbeitung von Verzeichnis- und Dateinamen entdeckt, durch die möglicherweise Code eingeschleust und ausgeführt werden kann. Es handelt sich bei dem Fehler laut SecuBox Labs um eine so genannte "Format-String"-Schwachstelle im Logging-Modul der Software, durch die über Zeichenketten wie %s oder %f Puffer der Anwendung überschrieben werden könnten.
Betroffen sind dem Advisory zufolge die Bitdefender-Versionen 9.0, 8.0 sowie 7.2 -- möglicherweise auch ältere Versionen. Bis der Hersteller aktualisierte Programmpakete bereitstellt, sollte die Logging-Funktion abgeschaltet sowie darauf geachtet werden, dass die zu scannenden Dateien und Verzeichnisse keine "Format-Strings" im Namen enthalten.
Update:
Bitdefender hat heute ein Advisory zu diesem Problem veröffentlicht, demzufolge bereits am 26.9. Fixes für BitDefender v7.x, v8.x und BitDefender 9 Internet Security veröffentlicht wurden, für die Versionen BitDefender 9 Professional Plus und BitDefender 9 Standard geschah dies heute. Diese Updates sollten über die eingebaute Update-Funktion automatisch eingespielt werden.
Siehe dazu auch: (dmk)
- Security Advisory von SecuBox Labs
- Filename Format String Vulnerability von Bitdefender
