公開日：2016/12/13　最終更新日：2016/12/16

JVNVU#90572729
McAfee Virus Scan Enterprise for Linux に複数の脆弱性

概要

McAfee Virus Scan Enterprise for Linux には複数の脆弱性が存在します。

影響を受けるシステム

  • Virus Scan Enterprise for Linux version 2.0.3 およびそれ以前

詳細情報

McAfee Virus Scan Enterprise for Linux には、次の複数の脆弱性が存在します。

情報漏えい (CWE-200) - CVE-2016-8016
当該製品のウェブインターフェースでは、複数のページでパラメータ tplt を使用しています。当該製品のユーザ権限をもつ遠隔の攻撃者がパラメータ tplt の値を細工してアクセスすることで、(本来アクセスを許可されておらず存在有無の確認もできないはずの) ファイルの存在有無をエラーメッセージから判断することが可能です。

特殊要素の不適切なサニタイジング (CWE-75) - CVE-2016-8017
当該製品のユーザ権限を持つ遠隔の攻撃者は、入力中にテキスト要素 "__REPLACE_THIS__" や、"[%" および "%]" などを含めることで、ログデータにこれらのテキスト要素を記録させることが可能です。これらのテキスト要素は、ログ読み込み処理などを行うシステムプロセスでは特別な意味を持つ文字列として扱われており、細工したテキスト要素をログに記録させることで、コマンドとして実行させることが可能です。
本脆弱性を使用することで、遠隔の攻撃者は nails ユーザとしてウェブサーバからファイルを取得することが可能です。

クロスサイトリクエストフォージェリ (CWE-352) - CVE-2016-8018
当該製品のウェブインターフェースは CSRF 対策トークンを使用していないため、クロスサイトリクエストフォージェリに対して脆弱です。

クロスサイトスクリプティング (CWE-79) - CVE-2016-8019
当該製品のウェブインターフェースでは、複数のページでパラメータ tplt を使用しています。NailsConfig.html または MonitorHost.html を指す URL でパラメータ tplt が使用されている場合、ブラウザに返されるレスポンス中のパラメータ info:7 および info:5 にはユーザ入力がそのまま含まれ、適切な検証処理が行われません。遠隔の第三者は info:7 または info:5 の値を改ざんすることで、ユーザのウェブブラウザ上で任意のスクリプトを実行することが可能です。

コードインジェクション (CWE-94) - CVE-2016-8020
システムスキャンフォームの最終ページで使用されている変数 nailsd.profile.ODS_9.scannerPath には、システムがスキャンを実行する際に使用するコマンドを指すパスが含まれています。当該製品のユーザ権限を持つ遠隔の攻撃者は細工した HTTP リクエストでこの値を改ざんすることで、任意のコマンドを root 権限で実行することが可能です。

デジタル署名の不適切な検証 (CWE-347) - CVE-2016-8021
当該製品のウェブインターフェースはファイルのデジタル署名を適切に検証していません。遠隔の攻撃者は、詐称したアップデートサーバにアクセスさせることで、当該製品上で任意のコードを実行することが可能です。

なりすましによる認証回避 (CWE-290) - CVE-2016-8022
当該製品のウェブインターフェースは、ユーザの IP アドレスを含んだ認証用 Cookie を使用しています。遠隔の攻撃者は Cookie に含まれる IP アドレスを改ざんすることで、ユーザになりすますことが可能です。

不変と想定されるデータの改ざんによる認証回避 (CWE-302) - CVE-2016-8023
当該製品のウェブインターフェースは、サーバの起動時刻をパラメータ DATE として含む認証用 Cookie を使用しています。遠隔の攻撃者はパラメータ DATE に記録されているサーバの起動時刻を総当たり (brute force) で割り出し、認証を回避することが可能です。

HTTP レスポンス分割 (CWE-113) - CVE-2016-8024
遠隔の攻撃者はシステムログの CSV 出力を得るための HTTP GET リクエストを改ざんして URL エンコードされた改行文字を含めることで、HTTP レスポンスに任意のヘッダを挿入することが可能です。

SQL インジェクション (CWE-89) - CVE-2016-8025
ウェブインターフェースの CSV ログ出力機能では、HTTP リクエスト中に SQL コマンドが URL エンコードされています。遠隔の攻撃者は任意の SQL コマンドを URL エンコードして HTTP リクエストに挿入することで、バックエンドの SQLite データベース上で任意の SQL コマンドを実行することが可能です。このデータベースには設定内容や過去にスキャンを行ったファイルの情報のみが保存されており、認証情報は含まれていません。

これらに関する詳しい情報は、開発者が提供する情報および研究者のブログ投稿をご確認ください。

想定される影響

遠隔の第三者によって、システム上の一部のファイルやログ情報を取得されたり、ユーザのウェブブラウザ上で任意のスクリプトを実行されたり、当該製品上で任意のコードを実行されたりする可能性があります。

対策方法

Endpoint Security にアップグレードする
McAfee は、これらの脆弱性を修正した Endpoint Security を提供しています。Endpoint Security version 10.2 およびそれ以降を使用してください。Endpoint Security へのアップグレードは無料です。

ベンダ情報

ベンダ リンク
McAfee Intel Security - Security Bulletin: VirusScan Enterprise for Linux/LinuxShield update fixes multiple vulnerabilities

参考情報

  1. CERT/CC Vulnerability Note VU#245327
    McAfee Virus Scan Enterprise for Linux contains multiple vulnerabilities
  2. Vulnerability Writeup by Andrew Fasano
    McAfee Virus Scan for Linux
  3. CERT/CC Vulnerability Note VU#535111
    McAfee VirusScan Enterprise for Windows is vulnerable to denial of service or code execution

JPCERT/CCからの補足情報

CERT/CC は、McAfee Virus Scan Enterprise for Windows の脆弱性について別の Vulnerability Note VU#535111 として公開しています。

JPCERT/CCによる脆弱性分析結果

CVSS v3 CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
基本値: 8.8
攻撃元区分(AV) 物理 (P) ローカル (L) 隣接 (A) ネットワーク (N)
攻撃条件の複雑さ(AC) 高 (H) 低 (L)
必要な特権レベル(PR) 高 (H) 低 (L) 不要 (N)
ユーザ関与レベル(UI) 要 (R) 不要 (N)
スコープ(S) 変更なし (U) 変更あり (C)
機密性への影響(C) なし (N) 低 (L) 高 (H)
完全性への影響(I) なし (N) 低 (L) 高 (H)
可用性への影響(A) なし (N) 低 (L) 高 (H)
CVSS v2 AV:N/AC:L/Au:S/C:C/I:C/A:C
基本値: 9.0
攻撃元区分(AV) ローカル (L) 隣接 (A) ネットワーク (N)
攻撃条件の複雑さ(AC) 高 (H) 中 (M) 低 (L)
攻撃前の認証要否(Au) 複数 (M) 単一 (S) 不要 (N)
機密性への影響(C) なし (N) 部分的 (P) 全面的 (C)
完全性への影響(I) なし (N) 部分的 (P) 全面的 (C)
可用性への影響(A) なし (N) 部分的 (P) 全面的 (C)

分析結果のコメント

この CVSS は CVE-2016-8020 について評価したものです。

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2016-8016
CVE-2016-8017
CVE-2016-8018
CVE-2016-8019
CVE-2016-8020
CVE-2016-8021
CVE-2016-8022
CVE-2016-8023
CVE-2016-8024
CVE-2016-8025
JVN iPedia

更新履歴

2016/12/14
タイトルを修正しました。概要、影響を受けるシステムおよび詳細情報から、Windows 版に関する記載を削除しました。JPCERT/CCからの補足情報を追加しました。
2016/12/16
対策方法の、Virus Scan Enterprise のサポート状況に関する記載を削除しました。