Fehler in H+BEDVs Linux-Version von AntiVir [Update]

Die Seite Excluded.org hat einen Fehler in H+BEDVs Linux-Version von AntiVir gemeldet, mit der es lokalen, nicht-privilegierten Benutzern möglich ist, beliebige Dateien zu überschreiben. Beim Starten erzeugt AntiVir eine temporäre Datei mit Lese- und Schreibrechten für Root, in dessen Namen die ID des Prozesses enthalten ist (/tmp/.pid_antivir_xx). Da die ID auf den meisten Systemen vorhersagbar ist, können lokale Benutzer mit einer Sym-Link-Attacke Dateien überschreiben, für die sie keine Rechte besitzen. Dazu versuchen sie die PID zu erraten und erzeugen einen symbolischen Link mit dem entsprechenden Namen, der auf eine beliebige andere Datei im System zeigt. Startet AntiVir und versucht nun selbst die temporäre Datei anzulegen, so wird die Datei gelöscht auf die der Sym-Link verweist, sofern der vorhergesagte Name und der von AntiVir verwendete übereinstimmen.

Dem Original-Advisory ist dazu ein Proof-of-Concept-Exploit beigefügt. Ob sich damit ein Benutzer seine lokalen Rechte ausbauen kann, ist strittig. Getestet wurde das Problem auf Version 2.0.9-9 unter Linux. Andere Versionen sind wahrscheinlich ebenfalls betroffen. Ein Patch oder Workaround stehen derzeit nicht zur Verfügung.

Siehe dazu auch:

• Security Advisory auf Excluded.org

Update:
H+BEDV stellt ein kostenloses Update der Linux-Version von AntiVir bereit, das den Fehler beseitigen soll. (dab)