Kaspersky Seite 2

In der Syscall-Filterfunktion des KLIF-Treibers von Kaspersky Internet Security besteht eine Denial-of-Service-Schwachstelle. Ein speziell gestalteter Aufruf der nativen API kann eine Access Violation im KLIF-Kerneltreiber auslösen und so einen lokalen Denial of Service verursachen. Ein Angreifer kann die Schwachstelle über ein Programm aus dem User-Mode auslösen. CVSS-Basiswert: 5.5 (Mittel).

In verschiedenen IOCTL-Handlern des KLDISK-Treibers von Kaspersky Internet Security bestehen mehrere Informationslecks. Speziell präparierte IOCTL-Anfragen können den Treiber dazu bringen, Kernelspeicher ausserhalb der Grenzen zurückzugeben, wodurch vertrauliche Informationen wie privilegierte Token oder Kernelspeicheradressen offengelegt werden können, die sich zur Umgehung von Kernel-Schutzmassnahmen nutzen lassen. Ein unprivilegierter Benutzer kann die Lücke aus dem User-Mode auslösen. Betroffen sind Produkte von Kaspersky. CVSS-Basiswert: 5.5 (Mittel).

Im KL1-Treiber von Kaspersky Internet Security besteht eine Denial-of-Service-Schwachstelle in der IOCTL-Verarbeitung. Ein speziell präpariertes IOCTL-Signal kann eine Zugriffsverletzung im KL1-Kerneltreiber auslösen und zu einem lokalen Denial of Service führen; ein Angreifer kann dies über ein Programm im User-Mode auslösen. CVSS-Basiswert: 5.5 (Mittel).

In der Verarbeitung von Broadcast-Fensternachrichten in Kaspersky Anti-Virus besteht eine lokale Denial-of-Service-Schwachstelle. Durch das Senden bestimmter unbehandelter Fensternachrichten kann ein Angreifer die Anwendung beenden und dabei den Selbstschutz von KAV umgehen. CVSS-Basiswert: 5.5 (Mittel).

Kaspersky Safe Browser für iOS vor Version 1.7.0 überprüft keine X.509-Zertifikate von SSL-Servern, wodurch Man-in-the-Middle-Angreifer über ein manipuliertes Zertifikat an vertrauliche Informationen gelangen können. CVSS-Basiswert: 5.9 (Mittel). Empfohlene Massnahme: auf Version 1.7.0 oder neuer aktualisieren.

Kaspersky Total Security 2015 15.0.2.361 reserviert beim Schutz von User-Mode-Prozessen Speicher mit Lese-, Schreib- und Ausführungsrechten (RWX) an vorhersehbaren Adressen. Dadurch können Angreifer über nicht näher spezifizierte Vektoren die Schutzmechanismen DEP und ASLR umgehen. CVSS-Basiswert: 6.4 (Mittel).

Die Anwendung Kaspersky Internet Security (com.kms.free) 11.4.4.232 für Android überprüft X.509-Zertifikate von SSL-Servern nicht. Dadurch können Man-in-the-Middle-Angreifer Server vortäuschen und über ein präpariertes Zertifikat an vertrauliche Informationen gelangen. Betroffen sind Produkte von Kaspersky. CVSS-Basiswert: 5.4 (Mittel).

In Kaspersky Internet Security 2010 9.0.0.736 unter Windows XP erlaubt eine Race Condition lokalen Benutzern die Umgehung von Kernel-Mode-Hook-Handlern, sodass gefährlicher Code ausgeführt werden kann, der sonst blockiert würde (sogenannter Argument-Switch- bzw. KHOBE-Angriff). Laut Quelle wird das Problem von einigen Dritten angezweifelt, da es sich um einen Fehler in einem Schutzmechanismus für bereits gestartete Schadprogramme handelt. CVSS-Basiswert: 6.2 (Mittel). Betroffen sind Kaspersky und Microsoft Windows als Zielplattform.

Der TAR-Datei-Parser mehrerer Antivirenprodukte – darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795 – erlaubt entfernten Angreifern, die Malware-Erkennung über eine POSIX-TAR-Datei mit einer einleitenden ELF-Zeichensequenz zu umgehen. CVSS-Basiswert: 4.3 (Mittel).

Der ELF-Datei-Parser in mehreren Antiviren-Produkten, darunter Kaspersky Anti-Virus 7.0.0.125, erlaubt entfernten Angreifern das Umgehen der Malware-Erkennung über eine ELF-Datei mit verändertem class-Feld. CVSS-Basiswert: 4.3 (Mittel).

Der RAR-Datei-Parser zahlreicher Virenscanner – darunter ESET NOD32 Antivirus, Kaspersky Anti-Virus, Bitdefender 7.2, Fortinet Antivirus, Sophos Anti-Virus, McAfee Anti-Virus Scanning Engine, Symantec Endpoint Protection 11 und Trend Micro HouseCall – erlaubt Angreifern aus der Ferne unter Mitwirkung des Nutzers, die Schadsoftware-Erkennung zu umgehen. Möglich wird dies über eine RAR-Datei mit einer einleitenden MZ-Zeichenfolge. CVSS-Basiswert: 4.3 (Mittel).

Der ELF-Datei-Parser in zahlreichen Antiviren-Engines, darunter Kaspersky Anti-Virus 7.0.0.125, erlaubt entfernten Angreifern, die Malware-Erkennung über eine ELF-Datei mit verändertem Encoding-Feld zu umgehen. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser zahlreicher Virenschutzprodukte, darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795, erlaubt entfernten Angreifern die Umgehung der Schadsoftware-Erkennung über eine POSIX-TAR-Datei mit einer bestimmten einleitenden Bytefolge. CVSS-Basiswert: 4.3 (Mittel).

Der CAB-Datei-Parser mehrerer Virenschutzprodukte – darunter Kaspersky Anti-Virus 7.0.0.125 sowie Produkte weiterer Hersteller – erlaubt Angreifern aus der Ferne, die Malware-Erkennung über eine CAB-Datei mit verändertem coffFiles-Feld zu umgehen. CVSS-Basiswert: 4.3 (Mittel). Empfohlene Massnahme: auf eine korrigierte Produktversion aktualisieren.

Der TAR-Datei-Parser zahlreicher Antivirenprodukte – darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795 – erlaubt entfernten Angreifern, die Malware-Erkennung zu umgehen. Dazu dient eine TAR-Datei mit einer angehängten ZIP-Datei. Laut Quelle könnte der Eintrag später in mehrere CVEs aufgeteilt werden, falls sich zeigt, dass der Fehler unabhängig in verschiedenen TAR-Parser-Implementierungen auftrat. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser zahlreicher Virenschutzprodukte – darunter Kaspersky Anti-Virus 7.0.0.125, NOD32 Antivirus 5795 von ESET, Bitdefender 7.2, McAfee Anti-Virus Scanning Engine, Symantec Endpoint Protection 11 und Trend Micro AntiVirus sowie viele weitere Hersteller – erlaubt entfernten Angreifern, die Malware-Erkennung zu umgehen. Ausgelöst wird dies über einen TAR-Archiveintrag, dessen Längenfeld die Gesamtgrösse der TAR-Datei überschreitet. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser einer grossen Zahl von Antivirenprodukten – darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795 – erlaubt entfernten Angreifern, die Malware-Erkennung zu umgehen. Dazu dient ein TAR-Archiveintrag, dessen Längenfeld dem gesamten Eintrag plus einem Teil des Headers des nächsten Eintrags entspricht. CVSS-Basiswert: 4.3 (Mittel).

Der ZIP-Datei-Parser in mehreren Antiviren-Produkten, darunter Kaspersky Anti-Virus 7.0.0.125, erlaubt entfernten Angreifern das Umgehen der Malware-Erkennung über eine ZIP-Datei, die am Anfang einen ungültigen Datenblock enthält. CVSS-Basiswert: 4.3 (Mittel).

Der Gzip-Datei-Parser zahlreicher Virenschutzprodukte, darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795, erlaubt entfernten Angreifern die Umgehung der Schadsoftware-Erkennung über eine .tar.gz-Datei mit mehreren komprimierten Streams. CVSS-Basiswert: 4.3 (Mittel).

Mehrere Kaspersky-Produkte (Anti-Virus 5.0, 6.0, 7, 2009 und 2010 sowie Internet Security 7, 2009 und 2010 in den genannten Versionen) verwenden schwache Berechtigungen (Everyone:Full Control) für das BASES-Verzeichnis. Dadurch können lokale Nutzer SYSTEM-Rechte erlangen, indem sie eine ausführbare Datei oder DLL durch ein Trojanisches Pferd ersetzen. CVSS-Basiswert: 6.8 (Mittel).

kl1.sys in Kaspersky Anti-Virus 2010 9.0.0.463 und möglicherweise weiteren Versionen vor 9.0.0.736 validiert die Eingaben an IOCTL 0x0022c008 nicht korrekt. Dadurch können lokale Benutzer einen Denial of Service (Systemabsturz) über IOCTL-Anfragen mit präparierten Kerneladressen auslösen, die eine Speicherbeschädigung hervorrufen, möglicherweise im Zusammenhang mit klavemu.kdl. Betroffen sind Produkte von Kaspersky. CVSS-Basiswert: 4.9 (Mittel).

Die avp.exe in Kaspersky Internet Security 9.0.0.459 und Anti-Virus 9.0.0.463 erlaubt entfernten Angreifern, einen Denial of Service (CPU-Verbrauch und Verlust der Netzwerkverbindung) auszulösen. Dazu dient eine HTTP-URL-Anfrage, die eine grosse Zahl von Punkten („.“) enthält. CVSS-Basiswert: 4.3 (Mittel).

Eine nicht näher spezifizierte Schwachstelle in Kaspersky Anti-Virus 2010 und Kaspersky Internet Security 2010 vor Critical Fix 9.0.0.463 erlaubt Angreifern aus der Ferne, die Kaspersky-Anwendung über unbekannte Angriffsvektoren zu deaktivieren. CVSS-Basiswert: 5 (Mittel). Empfohlene Massnahme: Aktualisierung auf Critical Fix 9.0.0.463 oder neuer.

Kaspersky Internet Security Suite 2009 verarbeitet multipart/mixed-E-Mails mit vielen MIME-Teilen und möglicherweise E-Mails mit vielen Content-type-message/rfc822-Kopfzeilen nicht ordnungsgemäss. Ein Angreifer aus der Ferne kann über eine grosse E-Mail einen Denial of Service (Stack- oder sonstiger Ressourcenverbrauch) auslösen. CVSS-Basiswert: 4.3 (Mittel).

Kaspersky Internet Security 7.0.0.125 validiert bestimmte Parameter an die Handler der System Service Descriptor Table (SSDT) nicht korrekt. Dadurch können lokale Nutzer über den NtCreateSection-Kernel-SSDT-Hook einen Denial of Service (Absturz) auslösen und möglicherweise Rechte erlangen oder über den NtLoadDriver-Hook einen Ausfall des Dienstes avp.exe verursachen. CVSS-Basiswert: 4.4 (Mittel).

Kaspersky Anti-Spam 3.0 MP1 vor Critical Fix 2 (3.0.278.4) setzt in bestimmten Upgrade-Szenarien falsche Berechtigungen für Anwendungsdateien, wodurch lokale Benutzer möglicherweise erhöhte Rechte erlangen können. CVSS-Basiswert: 4.4 (Mittel). Empfohlene Massnahme: Critical Fix 2 (3.0.278.4) oder neuer einspielen.

Eine nicht näher spezifizierte Schwachstelle in Kaspersky Anti-Virus für Check Point FireWall-1 vor Critical Fix 1 (5.5.161.0) könnte Angreifern erlauben, einen Denial of Service (Kernel hängt) über nicht spezifizierte Vektoren auszulösen. Laut Quelle ist unklar, ob eine Angreiferrolle erforderlich ist. Betroffen sind Produkte von Kaspersky. CVSS-Basiswert: 5 (Mittel).

Ein Integer Overflow in der Funktion _NtSetValueKey in klif.sys betrifft Kaspersky Anti-Virus, Anti-Virus for Workstations, Anti-Virus for File Server 6.0 und Internet Security 6.0 vor Maintenance Pack 2 (Build 6.0.2.614). Kontextabhängige Angreifer können darüber über ein grosses, vorzeichenloses Datengrössen-Argument einen Heap-Overflow auslösen und beliebigen Code ausführen. CVSS-Basiswert: 6.6 (Mittel). Empfohlene Massnahme: auf Maintenance Pack 2 (Build 6.0.2.614) oder neuer aktualisieren.

Eine nicht näher spezifizierte Schwachstelle im KLIF-Treiber (klif.sys) mehrerer Kaspersky-Produkte (unter anderem Anti-Virus und Internet Security 6.0 vor Maintenance Pack 2 Build 6.0.2.614) erlaubt lokalen Benutzern, über nicht spezifizierte Vektoren Ring-0-Rechte zu erlangen. CVSS-Basiswert: 6.8 (Mittel). Betroffen ist Kaspersky.

Die Kaspersky Labs Antivirus Engine 6.0 für Windows sowie 5.5-10 für Linux vor dem Stand 20070102 geraten beim Antreffen eines ungültigen NumberOfRvaAndSizes-Werts im Optional Windows Header einer Portable-Executable-Datei (PE) in eine Endlosschleife. Ein entfernter Angreifer kann so durch das Scannen einer manipulierten PE-Datei einen Denial of Service (CPU-Verbrauch) auslösen. CVSS-Basiswert: 5 (Mittel).

Kaspersky Anti-Virus for Linux Mail Servers 5.5.10 erlaubt Angreifern aus der Ferne, die Virenerkennung zu umgehen, indem ungültige Zeichen in base64-kodierte Inhalte einer multipart/mixed-MIME-Datei eingefügt werden. Demonstriert wurde dies mit der EICAR-Testdatei. CVSS-Basiswert: 5 (Mittel). Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Kaspersky Anti-Hacker 1.8.180 beantwortet bei aktiviertem Stealth Mode ICMP-Timestamp- und -Netmask-Anfragen, sodass entfernte Angreifer Antworten erhalten. Dieses Verhalten widerspricht dem dokumentierten Verhalten des Stealth Mode. CVSS-Basiswert: 5 (Mittel). Betroffen ist Kaspersky.

klif.sys in Kaspersky Internet Security 6.0 und 7.0, Kaspersky Anti-Virus (KAV) 6.0 und 7.0 sowie KAV 6.0 for Windows Workstations und for Windows Servers validiert bestimmte Parameter mehrerer eingehängter Systemaufrufe nicht. Ein lokaler Benutzer kann dadurch über einen ungültigen Parameter einen Denial of Service (Neustart) auslösen. CVSS-Basiswert: 5 (Mittel).

Ein Interpretationsfehler in Kaspersky 5.0.372 erlaubt entfernten Angreifern, den Virenscan zu umgehen. Eine Datei wie BAT, HTML oder EML mit einer MZ-Magic-Byte-Sequenz, die normalerweise mit EXE assoziiert wird, wird als ungefährlicher Typ behandelt, obwohl sie auf dem Zielsystem als gefährlicher Dateityp ausgeführt werden kann. Demonstriert wurde dies mit einem dreifachen Programm, das EXE-, EML- und HTML-Inhalte enthält (magic byte bug). Betroffen sind Produkte von Kaspersky. CVSS-Basiswert: 5.1 (Mittel).

Ein Interpretationsfehler in nicht näher benannten Versionen von Kaspersky Antivirus erlaubt entfernten Angreifern, die Virenerkennung zu umgehen. Dazu dient eine bösartige ausführbare Datei in einem speziell gestalteten RAR-Archiv mit fehlerhaften zentralen und lokalen Headern, das von Produkten wie WinRAR und PowerZip weiterhin geöffnet werden kann, während WinZip und BitZipper es als beschädigt zurückweisen. CVSS-Basiswert: 5.1 (Mittel).

Kaspersky Antivirus (KAV) 4.0.9.0 erkennt keine Viren in Dateien, deren Dateiname MS-DOS-Gerätenamen enthält. Lokale Benutzer können den Virenschutz dadurch umgehen, wie mit aux.vbs und aux.com gezeigt. CVSS-Basiswert: 4.4 (Mittel).

Kaspersky Antivirus (KAV) 4.0.9.0 erlaubt lokalen Benutzern, über eine Datei mit langem Pfadnamen einen Denial of Service (CPU-Auslastung oder Absturz) auszulösen und die Erkennung von Schadcode zu verhindern. CVSS-Basiswert: 4.4 (Mittel). Betroffen ist Kaspersky.

Kaspersky Anti-Hacker 1.0 erlaubt bei aktivierter automatischer Angriffsblockierung entfernten Angreifern, über gefälschte Pakete beliebige IP-Adressen zu blockieren und so einen Denial of Service zu verursachen. CVSS-Basiswert: 5 (Mittel).

Kaspersky Anti-Virus (KAV) und Internet Security 7.0 Build 125 validieren bestimmte Parameter an die Funktions-Handler der System Service Descriptor Table (SSDT) und Shadow SSDT nicht ordnungsgemäss. Dadurch können lokale Benutzer über mehrere Kernel-SSDT-Hooks in kylif.sys einen Denial of Service (Absturz) auslösen. CVSS-Basiswert: 2.1 (Niedrig). Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Kaspersky Anti-Virus for Unix/Linux File Servers 5.0-5 verwendet weltweit beschreibbare Berechtigungen für das Log- und das Lizenzverzeichnis. Lokale Benutzer können dadurch Logdateien löschen, über einen Symlink-Angriff auf kavmonitor.log an beliebige Dateien anhängen oder Lizenzschlüssel löschen und die ordnungsgemässe Ausführung von keepup2date verhindern. CVSS-Basiswert: 3.6 (Niedrig). Betroffen ist Kaspersky.