Trellix (McAfee)

Eine Schwachstelle in ESM 11.6.10 erlaubt unauthentifizierten Zugriff auf die interne Snowservice-API und ermöglicht Remote Code Execution über Command-Injection, ausgeführt als Root-Benutzer. CVSS-Basiswert: 9.8 (Kritisch).

SuperScan v4.1 enthält einen Buffer Overflow über den Parameter Hostname/IP. CVSS-Basiswert: 9.8 (Kritisch).

In Apache Tomcat wurde die Länge von WebSocket-Frame-Payloads nicht korrekt validiert. Betroffen sind die Versionen 10.0.0-M1 bis 10.0.0-M6, 9.0.0.M1 bis 9.0.36, 8.5.0 bis 8.5.56 sowie 7.0.27 bis 7.0.104. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 86.6 %.

Im HX-Agent-Treiber fekern.sys von Trellix wurde eine Schwachstelle identifiziert, die einem lokalen Angreifer durch den Einsatz einer eigenen verwundbaren Treiberdatei (Bring Your Own Vulnerable Driver) die Erlangung erhöhter Systemprivilegien ermöglicht. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Trellix SIR Version 1.0.3 und früher erlaubt eine Pfad- bzw. Symlink-Manipulationsschwachstelle einem authentifizierten, nicht-administrativen lokalen Benutzer, Systemdateien mit SIR-Backup-Dateien zu überschreiben. Dies kann über einen manipulierten Registry-Eintrag im Trellix-SIR-Registrierungsordner, über Policy-Einstellungen oder mittels einer Junction-Symlink auf Dateien erfolgen, auf die der Benutzer normalerweise keinen Zugriff hätte, und potenziell einen Systemabsturz verursachen. CVSS-Basiswert: 7.1 (Hoch).

Trellix Enterprise Security Manager (ESM) 11.6.10 erlaubt unauthentifizierten Zugriff auf die interne Snowservice API. Dies führt zu unsachgemässer Behandlung von Path Traversal, unsicherer Weiterleitung an ein AJP-Backend ohne ausreichende Validierung sowie fehlender Authentifizierung beim Zugriff auf interne API-Endpunkte. CVSS-Basiswert: 8.2 (Hoch).

Eine Buffer-Overflow-Schwachstelle in TA für Linux und TA für MacOS vor Version 5.8.1 erlaubt es einem lokalen Benutzer, durch Ausnutzung einer Speicherbeschädigung im als root laufenden TA-Dienst erhöhte Rechte zu erlangen oder einen Denial of Service (DoS) auszulösen. Zudem kann durch fehlerhafte Validierung der Dateieingaben die Ereignismeldung an ePO deaktiviert werden. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Update auf Version 5.8.1 oder neuer.

Im Trellix Anti-Malware Engine vor dem Release von Januar 2024 kann ein authentifizierter lokaler Nutzer laut Quelle über eine Symlink-Manipulation eine Rechteausweitung erreichen. Dazu legt der Angreifer einen Registry-Eintrag unter dem Trellix-ENS-Registry-Ordner mit einem symbolischen Link auf Dateien an, auf die er normalerweise keinen Zugriff hätte; nach einem Scan folgt die Engine dem Link und entfernt die Dateien. CVSS-Basiswert: 7.1 (Hoch). Ein EPSS-Wert liegt nicht in den Quelldaten vor.

In Trellix Enterprise Security Manager (ESM) vor Version 11.6.9 besteht eine Command-Injection-Schwachstelle. Weil die Eingabe beim Hinzufuegen einer neuen Datenquelle nicht korrekt bereinigt wird, kann ein entfernter Administrator beliebigen Code als root auf dem ESM ausführen. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: Update auf ESM 11.6.9.

In der TACC-ePO-Extension für lokal betriebene ePO-Server vor Version 8.4.0 besteht eine Path-Traversal-Schwachstelle. Ein berechtigter administrativer Angreifer kann darüber beliebigen Code ausführen, indem er eine speziell präparierte GTI-Reputationsdatei hochlädt; dafür sind die passenden Rechte für den betroffenen Bereich der Oberfläche nötig. Die Import-Logik wurde so angepasst, dass Dateitypen und Inhalte eingeschränkt werden. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 8.4.0 oder neuer.

Eine Cross-Site-Request-Forgery-Schwachstelle in ePolicy Orchestrator vor 5.10.0 CP1 Update 2 erlaubt einem entfernten Benutzer mit niedrigen Rechten, erfolgreich einen neuen Benutzer mit Administratorrechten auf dem ePO-Server anzulegen. Betroffen ist der Dashboard-Bereich der Benutzeroberflaeche; zur Ausnutzung muss der Angreifer die HTTP-Nutzlast nach dem Absenden und vor Erreichen des ePO-Servers ändern. CVSS-Basiswert: 8.0 (Hoch). Empfohlene Massnahme: Aktualisierung auf 5.10.0 CP1 Update 2 oder neuer.

Im Trellix Windows DLP Endpoint besteht eine Schwachstelle zur Rechteausweitung, die missbraucht werden kann, um Dateien oder Ordner zu löschen, für die der Benutzer eigentlich keine Berechtigung besitzt. CVSS-Basiswert: 7.1 (Hoch).

McAfee Safe Connect erlaubt vor Version 2.16.1.126 einem Angreifer mit Systemrechten das Laden beliebiger DLLs, wodurch eine Rechteausweitung erreicht werden kann. CVSS-Basiswert: 7.2 (Hoch).

Kaspersky Version 3.x bis 4.x erlaubt entfernten Angreifern, den Virenschutz zu umgehen, indem eine komprimierte Datei mit auf null gesetzten lokalen und globalen Headern verwendet wird, die dennoch auf dem Zielsystem geöffnet werden kann. CVSS-Basiswert: 7.5 (Hoch).

Eset Anti-Virus vor Version 1.020 (16. September 2004) erlaubt Angreifern aus der Ferne, den Virenschutz zu umgehen. Eine komprimierte Datei, deren lokale und globale Header auf null gesetzt sind, verhindert das Öffnen auf dem Zielsystem nicht und entgeht so der Prüfung. CVSS-Basiswert: 7.5 (Hoch).

Für die HTTP/2-Implementierung wurde eine Denial-of-Service-Schwachstelle (CVE-2019-9513) gemeldet; nginx und Synology (Synology-SA-19:33, HTTP/2 DoS Attacks) sowie weitere Hersteller führen entsprechende Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 81.6 %.

Apache Tomcat verarbeitete den HTTP-Header transfer-encoding in bestimmten Konstellationen fehlerhaft, was unter Umständen die Möglichkeit von Request Smuggling eröffnet. Betroffen sind die Versionsreihen 10.0.0-M1 bis 10.0.6, 9.0.0.M1 bis 9.0.46 sowie 8.5.0 bis 8.5.66. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 75.4 %.

Für Axis-Produkte wurde eine Sicherheitslücke behoben, die auf einer Schwachstelle in OpenSSL beruht; betroffen ist eine grosse Zahl weiterer Hersteller und Distributionen. Ausnutzungswahrscheinlichkeit (EPSS): 62.9 %.

Für nginx und Synology-Produkte wurde eine Sicherheitslücke im Zusammenhang mit HTTP/2 DoS-Angriffen gemeldet (Synology-SA-19:33 HTTP/2 DoS Attacks). Ausnutzungswahrscheinlichkeit (EPSS): 59.5 %.

Im Rahmen der Synology-SA-19:33 wurden HTTP/2 Denial-of-Service-Angriffe in nginx und Synology-Produkten gemeldet. CVE-2019-9516 betrifft einen Angriff über 0-Length-Headers im HTTP/2-Protokoll. Ausnutzungswahrscheinlichkeit (EPSS): 56.3 %.

Für Produkte von Axis Communications wurde eine Sicherheitslücke (CVE-2021-23840) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 50.7 %.

Für OpenSSL wurde eine Sicherheitslücke (CVE-2021-3712) gemeldet; zahlreiche Hersteller (u. a. Zimbra, Axis und NetApp) führen entsprechende Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 50.4 %.

Für Produkte von Axis Communications wurde eine Sicherheitslücke (CVE-2019-9517) gemeldet. Betroffen ist eine Reihe weiterer Hersteller und Distributionen, darunter Ubuntu, Debian, Synology, Fedora, SUSE/openSUSE, Red Hat, NetApp, Node.js und Oracle. Ausnutzungswahrscheinlichkeit (EPSS): 27.9 %.

Für Axis-Produkte wurde eine Sicherheitslücke (CVE-2021-3450) gemeldet, die die OpenSSL-Bibliothek betrifft und per Advisory adressiert wurde; mehrere Hersteller sind betroffen. Eine nähere technische Beschreibung liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 18.3 %.

Für Produkte von Axis Communications liegt ein Sicherheitshinweis des Herstellers vor. Zur genauen Schwachstelle enthalten die Quelldaten keine belastbare technische Beschreibung, weshalb Angriffsweg und Auswirkung hier nicht näher ausgeführt werden. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 17.1 %. Empfohlene Massnahme: den referenzierten Sicherheitshinweis des Herstellers beachten und verfügbare Aktualisierungen einspielen.

Für Axis Communications wurde eine Sicherheitslücke (CVE-2020-13938) gemeldet und in den Sicherheitsadvisories des Herstellers geführt. Der Quelldatensatz enthält keine technische Beschreibung und keinen CVSS-Basiswert. Ausnutzungswahrscheinlichkeit (EPSS): 11.9 %.

NetSchedScan 1.0 enthält eine Buffer-Overflow-Schwachstelle im Feld für Hostname/IP des Scans. Lokale Angreifer können die Anwendung durch Eingabe einer überlangen Zeichenkette zum Absturz bringen. CVSS-Basiswert: 6.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Der ELF-Datei-Parser in mehreren Antiviren-Produkten, darunter Kaspersky Anti-Virus 7.0.0.125, erlaubt entfernten Angreifern das Umgehen der Malware-Erkennung über eine ELF-Datei mit verändertem class-Feld. CVSS-Basiswert: 4.3 (Mittel).

Der RAR-Datei-Parser zahlreicher Virenscanner – darunter ESET NOD32 Antivirus, Kaspersky Anti-Virus, Bitdefender 7.2, Fortinet Antivirus, Sophos Anti-Virus, McAfee Anti-Virus Scanning Engine, Symantec Endpoint Protection 11 und Trend Micro HouseCall – erlaubt Angreifern aus der Ferne unter Mitwirkung des Nutzers, die Schadsoftware-Erkennung zu umgehen. Möglich wird dies über eine RAR-Datei mit einer einleitenden MZ-Zeichenfolge. CVSS-Basiswert: 4.3 (Mittel).

Der ELF-Datei-Parser in zahlreichen Antiviren-Engines, darunter Kaspersky Anti-Virus 7.0.0.125, erlaubt entfernten Angreifern, die Malware-Erkennung über eine ELF-Datei mit verändertem Encoding-Feld zu umgehen. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser zahlreicher Virenschutzprodukte, darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795, erlaubt entfernten Angreifern die Umgehung der Schadsoftware-Erkennung über eine POSIX-TAR-Datei mit einer bestimmten einleitenden Bytefolge. CVSS-Basiswert: 4.3 (Mittel).

Der CAB-Datei-Parser mehrerer Virenschutzprodukte – darunter Kaspersky Anti-Virus 7.0.0.125 sowie Produkte weiterer Hersteller – erlaubt Angreifern aus der Ferne, die Malware-Erkennung über eine CAB-Datei mit verändertem coffFiles-Feld zu umgehen. CVSS-Basiswert: 4.3 (Mittel). Empfohlene Massnahme: auf eine korrigierte Produktversion aktualisieren.

Der TAR-Datei-Parser zahlreicher Antivirenprodukte – darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795 – erlaubt entfernten Angreifern, die Malware-Erkennung zu umgehen. Dazu dient eine TAR-Datei mit einer angehängten ZIP-Datei. Laut Quelle könnte der Eintrag später in mehrere CVEs aufgeteilt werden, falls sich zeigt, dass der Fehler unabhängig in verschiedenen TAR-Parser-Implementierungen auftrat. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser zahlreicher Virenschutzprodukte – darunter Kaspersky Anti-Virus 7.0.0.125, NOD32 Antivirus 5795 von ESET, Bitdefender 7.2, McAfee Anti-Virus Scanning Engine, Symantec Endpoint Protection 11 und Trend Micro AntiVirus sowie viele weitere Hersteller – erlaubt entfernten Angreifern, die Malware-Erkennung zu umgehen. Ausgelöst wird dies über einen TAR-Archiveintrag, dessen Längenfeld die Gesamtgrösse der TAR-Datei überschreitet. CVSS-Basiswert: 4.3 (Mittel).

Der TAR-Datei-Parser einer grossen Zahl von Antivirenprodukten – darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795 – erlaubt entfernten Angreifern, die Malware-Erkennung zu umgehen. Dazu dient ein TAR-Archiveintrag, dessen Längenfeld dem gesamten Eintrag plus einem Teil des Headers des nächsten Eintrags entspricht. CVSS-Basiswert: 4.3 (Mittel).

Der Gzip-Datei-Parser zahlreicher Virenschutzprodukte, darunter Kaspersky Anti-Virus 7.0.0.125 und ESET NOD32 Antivirus 5795, erlaubt entfernten Angreifern die Umgehung der Schadsoftware-Erkennung über eine .tar.gz-Datei mit mehreren komprimierten Streams. CVSS-Basiswert: 4.3 (Mittel).