Résumé
ESET a été informé de l'existence de deux vulnérabilités dans les installateurs de ses produits pour Windows qui permettent à un utilisateur connecté au système d'effectuer une attaque par élévation de privilèges en détournant les options de réparation et de désinstallation. ESET a publié une mise à jour automatique des modules pour couvrir ces vulnérabilités dans les produits éligibles déjà installés et a publié des installateurs de produits corrigés.
Détails
CVE-2021-37851 permet à un utilisateur connecté au système d'effectuer une attaque par élévation de privilèges en exploitant la fonction de réparation du programme d'installation pour exécuter un code malveillant avec des privilèges plus élevés.
Le score de base CVSS v3 pour CVE-2021-37851 est 7.3 avec le vecteur suivant AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
CVE-2022-27167 affecte les options de réparation et de désinstallation et son exploitation peut conduire à la suppression arbitraire de fichiers.
Le score de base CVSS v3 pour CVE-2022-27167 est 7.1 avec le vecteur suivant AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
À notre connaissance, il n'existe pas d'exploits tirant parti de ces vulnérabilités dans la nature.
Solution
ESET a publié une mise à jour du module d'analyse antivirus et antispyware pour couvrir ces vulnérabilités dans les produits déjà installés, qui a été distribuée automatiquement. ESET a également publié des versions corrigées de ses produits pour Windows.
Étant donné que les produits installés reçoivent le correctif via la mise à jour du module d'analyse antivirus et antispyware, les utilisateurs ayant des produits ESET installés n'ont pas besoin de prendre des mesures concernant ces vulnérabilités. Pour les nouvelles installations, nous recommandons d'utiliser les derniers installateurs téléchargés à partir du site web d'ESET ou du dépôt d'ESET.
Les problèmes sont résolus dans les modules et builds suivants :
- Le module 1587 du scanner antivirus et antispyware a été publié le 31 mars 2022, pour les produits bénéficiant d'un support complet et limité, conformément à la politique de fin de vie d'ESET. Notez que cette mise à jour de module est téléchargée automatiquement par les produits ESET avec les mises à jour du moteur de détection.
- ESET NOD32 Antivirus, ESET Internet Security, ESET Smart Security Premium versions 15.1.12.0
- ESET Endpoint Antivirus et ESET Endpoint Security à partir des versions 9.0.2046.0, 8.1.2050.0 et 8.0.2053.0 respectivement
- ESET Server Security pour Microsoft Windows Server à partir de la version 9.0.12012.0
- ESET File Security pour Microsoft Windows Server publié sous le nom "ESET Server Security pour Microsoft Windows Server" à partir de la version 8.0.12013.0
- ESET Mail Security pour Microsoft Exchange Server à partir de la version 8.0.10020.0
- ESET Mail Security pour IBM Domino à partir de la version 8.0.14011.0
- ESET Security for Microsoft SharePoint Server à partir de la version 8.0.15009.0
Remarque : il est conseillé aux utilisateurs d'ESET Server Security pour Microsoft Azure d'utiliser ESET Server Security pour Microsoft Windows Server.
Programmes et versions concernés
- ESET NOD32 Antivirus, ESET Internet Security, ESET Smart Security Premium à partir de la version 11.2
- ESET Endpoint Antivirus et ESET Endpoint Security à partir de la version 6.0
- ESET Server Security pour Microsoft Windows Server à partir de la version 8.0
- ESET File Security pour Microsoft Windows Server à partir de la version 6.0
- ESET Server Security pour Microsoft Azure à partir de la version 6.0
- ESET Mail Security pour Microsoft Exchange Server à partir de la version 6.0
- ESET Mail Security pour IBM Domino à partir de la version 6.0
- ESET Security for Microsoft SharePoint Server à partir de la version 6.0
Commentaires et assistance
Si vous avez des commentaires ou des questions sur ce problème, contactez-nous en utilisant le Forum ESET Security, ou via local ESET Technical Support.
Remerciements
ESET apprécie les principes de divulgation coordonnée au sein de l'industrie de la sécurité et souhaite exprimer ses remerciements à Brecht Snijders pour avoir rapporté la CVE-2022-27167.
Journal des versions
Version 1.0 (9 mai 2022) : Version initiale de ce document
