ESET

Die Parsing-Engine mehrerer ESET-Produkte lässt sich über ein präpariertes BZ2-Prüfsummenfeld in einem Archiv dazu bringen, die Virenerkennung zu umgehen. Betroffen sind Versionen vor 1294 von Smart Security Premium, Internet Security, NOD32 Antivirus, Cyber Security Pro und Cyber Security (macOS), Mobile Security for Android, Smart TV Security sowie NOD32 Antivirus 4 for Linux Desktop. CVSS-Basiswert: 9.8 (Kritisch).

Im Archiv-Unterstützungsmodul von ESET NOD32 vor Update 11861 besteht ein Heap-basierter Pufferüberlauf. Entfernte Angreifer können über eine grosse Anzahl von Sprachen in einer EPOC-Installationsdatei vom Typ SIS_FILE_MULTILANG beliebigen Code ausführen. CVSS-Basiswert: 9.8 (Kritisch).

ESET Smart Security erlaubt bei Verwendung von Internet Explorer 6 oder 7 entfernten Angreifern, die Erkennung von Schadsoftware in einem HTML-Dokument zu umgehen, indem ein MZ-Header an den Anfang gesetzt und der Dateiname verändert wird (keine Endung, .txt- oder .jpg-Endung). Betroffen sind Produkte von ESET. CVSS-Basiswert: 9.3 (Kritisch).

ESET NOD32 Antivirus 3662 und möglicherweise 3440 erlaubt bei Nutzung von Internet Explorer 6 oder 7 entfernten Angreifern, die Erkennung von Malware in einem HTML-Dokument zu umgehen. Dazu wird ein MZ-Header an den Anfang gesetzt und der Dateiname so geändert, dass er keine, eine .txt- oder eine .jpg-Endung trägt. CVSS-Basiswert: 9.3 (Kritisch).

Mehrere stack-basierte Pufferüberläufe in ESET NOD32 Antivirus vor Version 2.70.37.0 erlauben entfernten Angreifern, während Lösch-/Desinfektions- oder Umbenennungsvorgängen über einen manipulierten Verzeichnisnamen beliebigen Code auszuführen. CVSS-Basiswert: 9.3 (Kritisch). Betroffen ist ESET.

In den OLE2- und CHM-Parsern von ESET NOD32 Antivirus vor 1.1743 besteht ein Integer-Überlauf. Entfernte Angreifer können über eine präparierte .DOC- oder .CAB-Datei einen Heap-basierten Pufferüberlauf auslösen und beliebigen Code ausführen. CVSS-Basiswert: 9.3 (Kritisch).

Eine Schwachstelle zur lokalen Rechteausweitung konnte einem Angreifer potenziell ermöglichen, die Dateioperationen von ESET zu missbrauchen, um Dateien ohne entsprechende Berechtigung zu löschen. Betroffen sind Produkte von ESET und Zoho. CVSS-Basiswert: 7.8 (Hoch).

Bei der sicheren Verkehrsscan-Funktion wurde die Zertifikatskette des Servers unzureichend validiert: Ein mit MD5 oder SHA1 signiertes Zwischenzertifikat wurde als vertrauenswürdig eingestuft. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Die Schwachstelle erlaubt einem Angreifer möglicherweise, die Dateioperationen von ESET während des Modul-Updates zu missbrauchen, um Dateien ohne die erforderlichen Berechtigungen zu löschen oder zu verschieben. CVSS-Basiswert: 7.8 (Hoch).

Auf einer Maschine mit installiertem betroffenem ESET-Produkt konnte ein Benutzer mit niedrigeren Rechten aufgrund unzureichender Rechteverwaltung Aktionen mit root-Rechten auslösen (lokale Rechteausweitung). ESET hat diesen Angriffsvektor behoben und neue, nicht mehr anfällige Builds seiner Produkte bereitgestellt. CVSS-Basiswert: 7.8 (Hoch). Betroffen ist ESET. Empfohlene Massnahme: Aktualisierung auf die bereitgestellten korrigierten Builds.

In den Windows-Produkten von ESET erlaubt eine Schwachstelle einem am System angemeldeten Benutzer, die Reparaturfunktion des Installers auszunutzen, um schädlichen Code mit höheren Rechten auszuführen. Betroffen sind unter anderem ESET NOD32 Antivirus, Internet Security und Smart Security Premium 11.2 vor 15.1.12.0 sowie mehrere Endpoint- und Server-Security-Produkte in älteren Versionen. CVSS-Basiswert: 7.3 (Hoch).

Eine Schwachstelle zur Rechteausweitung in den Windows-Produkten von ESET erlaubt einem Angreifer, die Funktionen „Repair“ und „Uninstall“ auszunutzen, was zum Löschen beliebiger Dateien führen kann. Betroffen sind unter anderem ESET NOD32 Antivirus, Internet Security und Smart Security Premium ab 11.2 vor 15.1.12.0 sowie mehrere Endpoint- und Server-Produkte in den in der Quelle genannten Versionen. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: auf die jeweils genannten fehlerbereinigten Versionen aktualisieren.

ESET-Produkte für Windows erlauben es einem nicht vertrauenswürdigen Prozess, den Client einer Pipe zu imitieren. Ein Angreifer kann dies nutzen, um seine Rechte in den höchsten Systemkontext (NT AUTHORITY SYSTEM) auszuweiten. CVSS-Basiswert: 7.8 (Hoch). Betroffen ist ESET.

Das ESET-Modul Antivirus and Antispyware (Modul 1553 bis 1560) erlaubt einem Nutzer mit eingeschränkten Rechten, in einigen ESET-Verzeichnissen Hard Links anzulegen und das Produkt so dazu zu bringen, über diese Links in Dateien zu schreiben, die für den Nutzer normalerweise nicht beschreibbar wären. Dies führt zu einer Rechteausweitung. CVSS-Basiswert: 7.8 (Hoch).

Das ESET Archive Support Module vor Version 1294 erlaubt über präparierte RAR-Kompressionsinformationen in einem Archiv die Umgehung der Virenerkennung. Betroffen sind unter anderem Smart Security Premium, Internet Security, NOD32 Antivirus, Cyber Security (macOS), Mobile Security for Android und NOD32 Antivirus 4 for Linux Desktop jeweils vor Version 1294. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf Modulversion 1294 oder neuer aktualisieren.

ESET Cyber Security 6.7.900.0 für macOS erlaubt einem lokalen Angreifer die Ausführung nicht autorisierter Befehle als root, indem eine undokumentierte Funktion in geplanten Aufgaben missbraucht wird. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Die Installer mehrerer Softwareprodukte von Canon IT Solutions (darunter ESET Smart Security Premium, ESET Internet Security, ESET Smart Security, ESET NOD32 Antivirus, DESlock+ Pro und CompuSec) sind anfällig für einen Untrusted Search Path. Ein Angreifer kann über eine untergeschobene Trojaner-DLL in einem nicht näher bezeichneten Verzeichnis erhöhte Rechte erlangen. CVSS-Basiswert: 7.8 (Hoch).

Der Treiber easdrv.sys in ESET Smart Security 3.0.667.0 erlaubt lokalen Benutzern, einen Denial of Service (Absturz) herbeizuführen. Auslöser ist eine präparierte IOCTL-Anfrage (0x222003) an die Geräteschnittstelle des easdrv-Treibers. CVSS-Basiswert: 7.2 (Hoch).

Der Personal-Firewall-Treiber (epfw.sys) 3.0.672.0 und früher in ESET Smart Security 3.0.672 und früher erlaubt lokalen Nutzern eine Rechteausweitung über einen manipulierten IRP in einer bestimmten METHOD_NEITHER-IOCTL-Anfrage an das Gerät Epfw, die Teile des Speichers überschreibt. CVSS-Basiswert: 7.2 (Hoch).

Der SysInspector-AntiStealth-Treiber (esiasdrv.sys) 3.0.65535.0 im ESET System Analyzer Tool 1.1.1.0 erlaubt lokalen Benutzern die Ausführung beliebigen Codes über eine bestimmte METHOD_NEITHER-IOCTL-Anfrage an das Gerät esiasdrv, die einen Zeiger überschreibt. CVSS-Basiswert: 7.2 (Hoch).

In ESET NOD32 Antivirus vor Version 2.2289 erlaubt eine Race Condition entfernten Angreifern die Ausführung beliebigen Codes über eine präparierte CAB-Datei, die eine Heap-Korruption auslöst. CVSS-Basiswert: 7.6 (Hoch).

Die Funktion zur Wiederherstellung einer Datei aus der Quarantäne in ESET NOD32 vor 2.51.26 erlaubt die Wiederherstellung in jedes Verzeichnis, für das der ausführende Nutzer Leserechte besitzt. Dadurch können lokale Nutzer trotz fehlender Schreibrechte auf das Verzeichnis neue Dateien anlegen. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: auf Version 2.51.26 oder neuer aktualisieren.

Kaspersky Version 3.x bis 4.x erlaubt entfernten Angreifern, den Virenschutz zu umgehen, indem eine komprimierte Datei mit auf null gesetzten lokalen und globalen Headern verwendet wird, die dennoch auf dem Zielsystem geöffnet werden kann. CVSS-Basiswert: 7.5 (Hoch).

Eset Anti-Virus vor Version 1.020 (16. September 2004) erlaubt Angreifern aus der Ferne, den Virenschutz zu umgehen. Eine komprimierte Datei, deren lokale und globale Header auf null gesetzt sind, verhindert das Öffnen auf dem Zielsystem nicht und entgeht so der Prüfung. CVSS-Basiswert: 7.5 (Hoch).

Ein Pufferüberlauf in Eset Software NOD32 für UNIX vor Version 1.013 erlaubt lokalen Nutzern die Ausführung von beliebigem Code über einen langen Pfadnamen. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: auf Version 1.013 oder neuer aktualisieren.

Im ESET Management Agent besteht eine lokale Rechteausweitung durch die unsichere Ausführung einer temporären Batch-Datei. CVSS-Basiswert: 6.7 (Mittel). Betroffen ist ESET.

Kurz nach Installation oder Aktualisierung eines ESET-Sicherheitsprodukts konnte ein Angreifer unter nicht standardmässigen Voraussetzungen das Produkt funktionsunfähig machen (Denial of Service). CVSS-Basiswert: 6.1 (Mittel). Betroffen ist ESET.

Ein Use-after-free im Kernelmodul eset_rtp, das in ESET-Produkten für Linux verwendet wird, erlaubt einem potenziellen Angreifer, einen Denial-of-Service-Zustand auf dem System auszulösen. Betroffen sind Produkte von ESET. CVSS-Basiswert: 5.9 (Mittel).

In den Consumer- und Business-Produkten von ESET für macOS ermöglicht eine Schwachstelle einem am System angemeldeten Nutzer, den ESET-Daemon zu beenden. Dadurch wird der Schutz des ESET-Sicherheitsprodukts bis zu einem Neustart des Systems ausser Kraft gesetzt. CVSS-Basiswert: 5.5 (Mittel).

Ein lokaler, niedrig privilegierter Nutzer kann ein Verhalten in einem ESET-Installer ausnutzen, um über einen Symlink beliebige Dateien zu überschreiben bzw. zu löschen; Ursache sind unsichere Berechtigungen. Die Ausnutzung ist nur während der Installationsphase und nur bei deaktivierter Selbstverteidigung möglich. CVSS-Basiswert: 5.5 (Mittel).

ESET Cyber Security vor Version 6.8.1.0 ist anfällig für einen Denial of Service, bei dem jeder Benutzer ESET-Prozesse beenden kann. Ein Angreifer kann so den Schutz durch ESET stoppen und anschliessend seinen Angriff starten. CVSS-Basiswert: 6.5 (Mittel). Betroffen ist ESET.

Ein Berechtigungsproblem in ESET Cyber Security vor Version 6.8.300.0 für macOS erlaubt einem lokalen Angreifer eine Rechteausweitung, indem er Daten an Dateien anhängt, die dem Benutzer root gehören. CVSS-Basiswert: 6.7 (Mittel). Empfohlene Massnahme: Aktualisierung auf Cyber Security 6.8.300.0 oder neuer.

Das ESET Archive Support Module vor Build 1296 erlaubt eine Umgehung der Virenerkennung über ein manipuliertes Compression Information Field in einem ZIP-Archiv. Betroffen sind Versionen vor 1294 mehrerer Produkte, darunter Smart Security Premium, Internet Security und NOD32 Antivirus. CVSS-Basiswert: 5.5 (Mittel). Betroffen ist ESET.

Der Dienst esets_daemon in ESET Endpoint Antivirus für macOS vor 6.4.168.0 und Endpoint Security für macOS vor 6.4.168.0 überprüft X.509-Zertifikate des SSL-Servers edf.eset.com nicht ordnungsgemäss. Angreifer in einer Mittelsmann-Position können dadurch den Server vortäuschen und über ein selbstsigniertes Zertifikat manipulierte Antworten auf Lizenzaktivierungsanfragen liefern. CVSS-Basiswert: 5.9 (Mittel). Empfohlene Massnahme: Aktualisierung auf Version 6.4.168.0 oder neuer.

Der NDIS-Filtertreiber der ESET Personal Firewall (EpFwNdis.sys) im Firewall-Modul Build 1183 und früher in ESET Smart Security und ESET Endpoint Security 5.0 bis 7.0 erlaubt lokalen Benutzern über ein präpariertes Argument an einen 0x830020CC-IOCTL-Aufruf die Erlangung erhöhter Rechte. CVSS-Basiswert: 6.9 (Mittel).

In ESET Smart Security 4.2.35.3 unter Windows XP erlaubt eine Race Condition lokalen Benutzern die Umgehung von Kernel-Mode-Hook-Handlern, sodass gefährlicher Code ausgeführt werden kann, der sonst blockiert würde (sogenannter Argument-Switch- bzw. KHOBE-Angriff). Laut Quelle wird das Problem von einigen Dritten angezweifelt, da es sich um einen Fehler in einem Schutzmechanismus für bereits gestartete Schadprogramme handelt. CVSS-Basiswert: 4.5 (Mittel).

Der TAR-Datei-Parser mehrerer Antivirenprodukte – darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795 – erlaubt entfernten Angreifern, die Malware-Erkennung über eine POSIX-TAR-Datei mit einer einleitenden ELF-Zeichensequenz zu umgehen. CVSS-Basiswert: 4.3 (Mittel).

Der RAR-Datei-Parser zahlreicher Virenscanner – darunter ESET NOD32 Antivirus, Kaspersky Anti-Virus, Bitdefender 7.2, Fortinet Antivirus, Sophos Anti-Virus, McAfee Anti-Virus Scanning Engine, Symantec Endpoint Protection 11 und Trend Micro HouseCall – erlaubt Angreifern aus der Ferne unter Mitwirkung des Nutzers, die Schadsoftware-Erkennung zu umgehen. Möglich wird dies über eine RAR-Datei mit einer einleitenden MZ-Zeichenfolge. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser zahlreicher Virenschutzprodukte, darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795, erlaubt entfernten Angreifern die Umgehung der Schadsoftware-Erkennung über eine POSIX-TAR-Datei mit einer bestimmten einleitenden Bytefolge. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser zahlreicher Antivirenprodukte – darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795 – erlaubt entfernten Angreifern, die Malware-Erkennung zu umgehen. Dazu dient eine TAR-Datei mit einer angehängten ZIP-Datei. Laut Quelle könnte der Eintrag später in mehrere CVEs aufgeteilt werden, falls sich zeigt, dass der Fehler unabhängig in verschiedenen TAR-Parser-Implementierungen auftrat. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser zahlreicher Virenschutzprodukte – darunter Kaspersky Anti-Virus 7.0.0.125, NOD32 Antivirus 5795 von ESET, Bitdefender 7.2, McAfee Anti-Virus Scanning Engine, Symantec Endpoint Protection 11 und Trend Micro AntiVirus sowie viele weitere Hersteller – erlaubt entfernten Angreifern, die Malware-Erkennung zu umgehen. Ausgelöst wird dies über einen TAR-Archiveintrag, dessen Längenfeld die Gesamtgrösse der TAR-Datei überschreitet. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser einer grossen Zahl von Antivirenprodukten – darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795 – erlaubt entfernten Angreifern, die Malware-Erkennung zu umgehen. Dazu dient ein TAR-Archiveintrag, dessen Längenfeld dem gesamten Eintrag plus einem Teil des Headers des nächsten Eintrags entspricht. CVSS-Basiswert: 4.3 (Mittel).

Der Gzip-Datei-Parser zahlreicher Virenschutzprodukte, darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795, erlaubt entfernten Angreifern die Umgehung der Schadsoftware-Erkennung über eine .tar.gz-Datei mit mehreren komprimierten Streams. CVSS-Basiswert: 4.3 (Mittel).

Eine Cross-Site-Scripting-Schwachstelle (XSS) in der Oberfläche Additional Report Settings des ESET Remote Administrator vor Version 3.0.105 erlaubt Angreifern aus der Ferne, beliebiges Web-Skript oder HTML über nicht spezifizierte Vektoren einzuschleusen. CVSS-Basiswert: 4.3 (Mittel). Empfohlene Massnahme: auf Version 3.0.105 oder neuer aktualisieren.

ESet NOD32 2.70.0039.0000 verarbeitet multipart/mixed-E-Mails mit vielen MIME-Teilen und möglicherweise E-Mails mit vielen message/rfc822-Headern nicht ordnungsgemäss, wodurch entfernte Angreifer über eine grosse E-Mail einen Denial of Service durch Stack- oder anderen Ressourcenverbrauch auslösen können. CVSS-Basiswert: 4.3 (Mittel).

In ESET NOD32 Antivirus vor 2.2289 besteht ein Integer-Überlauf, über den entfernte Angreifer per präparierter, mit ASPACK gepackter Datei einen Denial of Service (CPU- und Festplattenauslastung) durch eine Endlosschleife auslösen können. CVSS-Basiswert: 5 (Mittel).

ESET NOD32 Antivirus vor Version 2.2289 erlaubt entfernten Angreifern das Auslösen eines Denial of Service über eine präparierte ASPACK- oder FSG-gepackte Datei, die einen Division-durch-Null-Fehler auslöst. CVSS-Basiswert: 5 (Mittel).

Ein unquoted service path in ESET-Produkten erlaubt es, ein vorbereitetes Programm an einem bestimmten Ort abzulegen und beim Systemstart mit den Rechten von NT AUTHORITY\NetworkService auszuführen. CVSS-Basiswert: 3.3 (Niedrig).

Der Kernelmodus-Treiber des ESET Personal Firewall NDIS-Filters (EpFwNdis.sys), auch als Personal-Firewall-Modul vor Build 1212 (20140609) bekannt und in mehreren ESET-Produkten von 5.0 bis 7.0 eingesetzt, erlaubt lokalen Nutzern, über gestaltete IOCTL-Aufrufe sensible Informationen aus dem Kernelspeicher auszulesen. CVSS-Basiswert: 2.1 (Niedrig). Empfohlene Massnahme: auf das Personal-Firewall-Modul Build 1212 oder neuer aktualisieren.

ESET NOD32 Antivirus vor Version 1.1743 erlaubt Angreifern aus der Ferne, einen Denial of Service (Absturz) herbeizuführen. Auslöser ist eine präparierte .CHM-Datei, die einen Division-durch-null-Fehler auslöst. CVSS-Basiswert: 2.6 (Niedrig).