Se han hecho públicas ocho vulnerabilidades en Trend Micro OfficeScan11.0 y XG (12.0) que podrían causar diferentes impactos, desde la revelación de información hasta la ejecución de código remoto y elevación de privilegios.
Trend Micro OfficeScan es un sistema de protección frente a amenazas para servidores de archivos, PC’s, portátiles y escritorios virtualizados mediante la combinación de tecnologías de seguridad ‘in situ’ y en la nube. OfficeScan consta de un agente que reside en el equipo del usuario y de un servidor que gestiona todos los agentes.
Los problemas de seguridad son los siguientes:
CVE-2017-14083: La ruta al archivo ‘crypt.key’ utilizado en el proceso de cifrado se encuentra definida en ‘config.php’ y un atacante remoto no autenticado podría descargar dicho fichero a través de una petición simple:
CVE-2017-14084: Las peticiones CURL usadas por la función ‘send’ en ‘HttpTalk.php’ establecen los parámetros de verificación ‘CURLOPT_SSL_VERIFYPEER’ y ‘CURLOPT_SSL_VERIFYHOST’ a falso, lo que podría permitir la realización de ataques MITM.
CVE-2017-14085: Un atacante no autenticado podría revelar información sensible acerca de los dominios presentes en las redes, y las versiones y módulos de PHP a través de ‘analyzeWF.php’.
CVE-2017-14086: Una falta de validación permite la ejecución remota de procesos como ‘fcgiOfcDDA.exe’ o ‘cgiRqUpd.exe’ por parte de un atacante no autenticado que podrían aprovecharse para causar una denegación de servicio por elevado consumo de recursos (espacio en disco ocupado por los volcados o dumps generados) por múltiples ejecuciones o corrupción del INI.
CVE-2017-14087: Existe un problema de inyección en las cabeceras de host al basarse en $_SERVER[‘HTTP_HOST’] (que puede ser falsificado por el cliente) en lugar de $_SERVER[‘SERVER_NAME’], por ejemplo en ‘db_controller.php’. Esto podría permitir generar enlaces arbitrarios que apunten a sitios web maliciosos al cachearse peticiones con cabeceras envenenadas.
CVE-2017-14088: Un error de falta de validación al manejar ‘IOCTL 0x220008’ en ‘tmwfp.sys’ podría podría ser aprovechado por un atacante para elevar sus privilegios.
CVE-2017-14089: Determinadas peticiones al ser procesadas en ‘cgiShowClientAdm.exe’ podrían causar problemas de corrupción de memoria.
Adicionalmente existe una vulnerabilidad, sin identificador CVE asignado, debida a la posibilidad de realizar solicitudes HTTP arbitrarias en servidores internos o externos a través de ‘help_proxy.php’.
Las vulnerabilidades has sido descubiertas por John Page (aka hyp3rlinx) de ApparitionSec, Leong Wai Meng y zer0b4by en colaboración con Zero Day Initiative. Trend Micro ha publicado las actualizaciones XG CP 1708 y 11.0 SP1 CP 6426 disponibles respectivamente desde los siguientes enlaces:
http://files.trendmicro.com/products/officescan/XG/patch1/osce_xg_win_en_criticalpatch_1708.exe
http://files.trendmicro.com/products/officescan/11.0_SP1/osce_11_sp1_patch1_win_en_criticalpatch_6426.exe
https://success.trendmicro.com/solution/1118372
CVE-2017-14083
http://hyp3rlinx.altervista.org/advisories/CVE-2017-14083-TRENDMICRO-OFFICESCAN-XG-PRE-AUTH-REMOTE-ENCRYPTION-KEY-DISCLOSURE.txt
CVE-2017-14084 – Trend Micro OfficeScan v11.0 and XG (12.0)* CURL (MITM)
Remote Code Execution
http://hyp3rlinx.altervista.org/advisories/CVE-2017-14084-TRENDMICRO-OFFICESCAN-XG-CURL-MITM-REMOTE-CODE-EXECUTION.txt
CVE-2017-14085 – Trend Micro OfficeScan v11.0 and XG (12.0)*
Unauthorized NT Domain / PHP Information Disclosures
http://hyp3rlinx.altervista.org/advisories/CVE-2017-14085-TRENDMICRO-OFFICESCAN-XG-REMOTE-NT-DOMAIN-PHP-INFO-DISCLOSURE.txt
CVE-2017-14086 – Trend Micro OfficeScan v11.0 and XG (12.0)*
Unauthorized Start Remote Process Code Execution / DOS – INI Corruption
http://hyp3rlinx.altervista.org/advisories/CVE-2017-14086-TRENDMICRO-OFFICESCAN-XG-PRE-AUTH-START-REMOTE-PROCESS-CODE-EXECUTION-MEM-CORRUPT.txt
CVE-2017-14087
http://hyp3rlinx.altervista.org/advisories/CVE-2017-14087-TRENDMICRO-OFFICESCAN-XG-HOST-HEADER-INJECTION.txt
CVE-2017-14088 – Trend Micro OfficeScan tmwfp Memory Corruption
Privilege Escalation Vulnerability
http://zerodayinitiative.com/advisories/ZDI-17-828/
http://zerodayinitiative.com/advisories/ZDI-17-829/
CVE-2017-14089
http://hyp3rlinx.altervista.org/advisories/CVE-2017-14089-TRENDMICRO-OFFICESCAN-XG-PRE-AUTH-REMOTE-MEMORY-CORRUPTION.txt
Trend Micro OfficeScan v11.0 and XG (12.0)* Unauthorized Server Side
Request Forgery
http://hyp3rlinx.altervista.org/advisories/TRENDMICRO-OFFICESCAN-XG-SERVER-SIDE-REQUEST-FORGERY.txt
Deja un comentario