Se ha publicado una vulnerabilidad en Symantec LiveUpdate Administrator que podría permitir a un atacante local elevar privilegios.
LiveUpdate Administrator es una
utilidad empleada para actualizar los productos de Symantec, descargando las
actualizaciones desde los servidores de la compañía, verificando e
instalándolas. LiveUpdate se encuentra incluido en muchos productos de
Symantec.
La vulnerabilidad está causada
por una insegura asignación de permisos a determinados archivos durante la
instalación por defecto de LiveUpdate Administrator. Estos archivos disponen de
permisos de "Control total"
para "Todos" los usuarios.
Un atacante local sin privilegios
podría sustituir estos ficheros y, a la hora de ser lanzados, aprovechar esta
vulnerabilidad para elevar privlegios. Esto le permitiría acceder y modificar
ficheros arbitrarios del sistema para los que no tiene autorización, y crear
scripts y ejecutar comandos arbitrarios con privilegios de SYSTEM.
Se ha asignado el identificador
CVE-2012-0304 a
esta vulnerabilidad, que afecta a las versiones de LiveUpdate Administrator 2.3
y anteriores.
Symantec ha publicado la versión
2.3.1 que corrige este fallo.
Más información:
Symantec LiveUpdate Administrator
2.3 Insecure File Permissions
Juan José Ruiz
No hay comentarios:
Publicar un comentario