Zusammenfassung
ESET-Kundenhinweis 2017-0003
14. Februar 2017
Schweregrad: Kritisch
ESET wurde auf mögliche Schwachstellen in seinen Consumer- und Business-Produkten für macOS aufmerksam gemacht. Nach eingehender Prüfung hat ESET die Ursachen für die Probleme identifiziert und behobene Produkte zum Herunterladen und Installieren für seine Nutzer bereitgestellt.
Kundenhinweis
Betroffene Programme und Versionen
- XML-Parsing-Problem und SSL-Verifizierungsproblem
- ESET Cyber Security und ESET Cyber Security Pro 6.1.x - 6.3.70.1
- ESET Endpoint Antivirus für macOS und ESET Endpoint Security für macOS 6.0.x - 6.3.85.1
- Problem mit dem Installationsskript
- ESET Cyber Security und ESET Cyber Security Pro 6.0.x - 6.3.70.1
- ESET Endpoint Antivirus für macOS und ESET Endpoint Security für macOS 6.0.x - 6.3.85.1
- ESET NOD32 Antivirus Business Edition für macOS 4.x
- Problem mit der Proxy-Überwachung
- ESET Cyber Security und ESET Cyber Security Pro 6.0.x - 6.3.70.1
- ESET Endpoint Antivirus für macOS und ESET Endpoint Security für macOS 6.0.x - 6.3.85.1
Lösung
ESET hat korrigierte Builds der Consumer- und Business-Produkte für macOS vorbereitet und empfiehlt den Benutzern, diese aus dem Download-Bereich von www.eset.com herunterzuladen und so bald wie möglich zu installieren.
Die folgenden Builds enthalten die Korrekturen:
- ESET Cyber Security und ESET Cyber Security Pro 6.4.128.0 und höher (veröffentlicht am 13. Februar 2017)-View instructions to Upgrade to the latest version
- ESET Endpoint Antivirus für macOS und ESET Endpoint Security für macOS 6.4.168.0 und neuer (veröffentlicht am 14. Februar 2017)-Anleitung zum Upgrade auf die neueste Version anzeigen
Einzelheiten
Die folgenden Probleme wurden an ESET gemeldet, analysiert und behoben:
- Durch die Verwendung eines veralteten Builds der XML-Parsing-Bibliothek einesDrittanbieters in ESET-Produkten für macOS war es für einen Angreifer möglich, eine speziell entworfene XML-Datei zu erstellen, die, wenn sie vom ESET-Daemon geladen wird, seinen bösartigen Code mit Root-Rechten ausführt. ESET hat dieses Problem durch die Verwendung eines gepatchten Builds der XML-Parsing-Bibliothek behoben.
- Der Installationsassistent von ESET-Produkten für macOS führt ein Skript aus, das sich in /tmp/esets_setup.sh befindet und lädt die Konfiguration aus /tmp. Wenn ein unprivilegierter Benutzer diese Dateien zuvor erstellt hat, würde eine nachfolgende Installation, die von einem privilegierten Benutzer ausgeführt wird, diese Dateien laden und ausführen. ESET hat dieses Problem behoben, indem keine Skriptdatei mehr verwendet wird, sondern eine Datendatei mit Installationseinstellungen erstellt wird, die von esets_daemon beim ersten Laden gelesen und interpretiert wird.
- ESET-Produkte für macOS überprüften bei der Kommunikation mit ESET-Servern keine SSL-Zertifikate. Auf diese Weise konnte ein Angreifer einen Man-in-the-Middle-Angriff durchführen und die vom Produkt empfangenen Daten fälschen. ESET hat dieses Problem durch die Implementierung einer SSL-Zertifikatsüberprüfung bei der Kommunikation mit ESET-Servern behoben.
- Auch wenn die Proxy-Funktionen bei der Einrichtung von ESET-Produkten für macOS deaktiviert waren, lauschte der esets_proxy-Daemon weiterhin auf 0.0.0.0:57856, was ihn für nicht-lokale Verbindungsversuche anfällig machte. ESET hat dieses Problem behoben, indem der Daemon auf 127.0.0.1 statt auf 0.0.0.0 lauscht und alle Ports schließt, wenn die Proxy-Funktionen deaktiviert wurden.
Soweit uns bekannt ist, gibt es in der freien Wildbahn keine Exploits, die diese Schwachstellen ausnutzen.
Feedback und Unterstützung
Wenn Sie Feedback oder Fragen zu diesem Problem haben, kontaktieren Sie uns bitte über das ESET Security Forum oder über den lokalen ESET Support.
Danksagung
ESET schätzt die Prinzipien der verantwortungsvollen Offenlegung innerhalb der Sicherheitsindustrie und möchte sich hiermit bei Jan Bee und Jason Geffner vom Google Security Team bedanken, die diese Probleme gemeldet haben.
Versionsprotokoll
Version 1.0 (14. Februar 2017): Erste Version dieses Dokuments
