Elevación de privilegios en productos ESET y Panda

Se han anunciado dos vulnerabilidades de elevación de privilegios en los productos de seguridad ESET Smart Security y ESET Endpoint Security para Windows XP (versiones 5 a 7) y en Panda Security 2014.

El primero de los problemas, con CVE-2014-4973, afecta a los productos ESET Smart Security y ESET Endpoint Security para Windows XP (versiones 5 a 7) y concretamente reside en el controlador modo kernel EpFwNdis.sys (ESET Personal Firewall NDIS) Build 1183 (20140214) y anteriores. Puede permitir a un usuario sin privilegios ejecutar código como SYSTEM mediante una llamada IOCTL específicamente creada. Se ha solucionado en las versiones 6 y 7 (Firewall Module Build 1212 (20140609)).

Por otra parte, los productos Panda 2014 también se ven afectados por una escalada de privilegios en el controlador modo kernel PavTPK.sys. Una vulnerabilidad (CVE-2014-5307) de desbordamiento de búfer puede permitir a un atacante ejecutar código como system a través de una petición IOCTL. Se ha publicado el Hotfix hft131306s24_r1 que soluciona la vulnerabilidad.