Aviso al cliente de ESET 2021-0001
18 de enero de 2021
Gravedad: Media
Resumen
ESET tuvo conocimiento de una vulnerabilidad en sus productos de consumo, empresariales y de servidor para la plataforma Windows que permite a usuarios con derechos limitados escribir un archivo o reescribir el contenido de uno existente, sin tener permisos para ello, cuando ESET Self-defense no estaba activo. ESET ha preparado instaladores con el problema solucionado. Recomendamos utilizar las últimas versiones de los instaladores disponibles para garantizar la máxima protección.
Detalles
ESET recibió un informe en el que se indicaba que en un equipo en el que se estaba instalando o actualizando un producto ESET, ejecutado en el sistema operativo Windows, era posible realizar cambios en un directorio de ESET de forma que se forzaba al producto a escribir en archivos que normalmente no serían escribibles por el usuario, consiguiendo así una escalada de privilegios.
Esta vulnerabilidad surgió porque durante el proceso de instalación, la protección sólo se está configurando, por lo que la autodefensa aún no está completamente activa. Una vez finalizada la instalación y activada la autodefensa, el ataque ya no es posible. Del mismo modo, el ataque también es posible en algunos otros escenarios cuando la autodefensa está desactivada.
Dado que la ventana de tiempo en la que la autodefensa está inactiva durante la instalación y la actualización es estrecha y difícil de controlar por un atacante, creemos que la posibilidad de explotar con éxito esta vulnerabilidad es baja.
Las actualizaciones mediante Micro Program Component Update (uPCU) no se ven afectadas, la PCU estándar sí. El producto de seguridad ESET ya instalado está protegido por el mecanismo de autodefensa, que está activado por defecto.
El CVE ID reservado para esta vulnerabilidad es CVE-2020-26941.
Hasta donde sabemos, no existen exploits que se aprovechen de esta vulnerabilidad.
Solución
ESET ha preparado paquetes de instalación fijos para que nuestros clientes los utilicen para instalar y actualizar los productos de seguridad de ESET:
- ESET NOD32 Antivirus, ESET Internet Security y ESET Smart Security Premium 14.0
- ESET Endpoint Antivirus y ESET Endpoint Security 8.0
- ESET File Security para Microsoft Windows Server, ESET Mail Security para Microsoft Exchange Server, ESET Mail Security para IBM Domino y ESET Security para Microsoft SharePoint Server 7.3
Recomendamos encarecidamente a los clientes que utilicen las últimas versiones de los productos de seguridad de ESET y que mantengan actualizados sus sistemas operativos.
Productos afectados
Se ve afectada la instalación o actualización de uno de los siguientes productos de seguridad de ESET:
- ESET NOD32 Antivirus, ESET Internet Security, ESET Smart Security, ESET Smart Security Premium versiones 13.2 e inferiores
- ESET Endpoint Antivirus, ESET Endpoint Security, ESET NOD32 Antivirus Business Edition, ESET Smart Security Business Edition versiones 7.3 e inferiores
- ESET File Security para Microsoft Windows Server, ESET Mail Security para Microsoft Exchange Server, ESET Mail Security para IBM Domino, ESET Security para Kerio, ESET Security para Microsoft SharePoint Server versiones 7.2 e inferiores
Comentarios y soporte
Si tiene comentarios o preguntas acerca de este problema, póngase en contacto con nosotros a través del foro de ESET Security o del soporte técnico local de ESET.
Reconocimiento
ESET valora los principios de divulgación responsable dentro de la industria de la seguridad y nos gustaría expresar nuestro agradecimiento a Ilias Dimopoulos de RedyOps Research Labs quien reportó este problema.
Registro de versiones
Versión 1.0 (18 de enero de 2021): Versión inicial de este documento
