Symantec AntiVirus RAR Archive Decompression Buffer Overflow

[ERCOLINO]

Secunia Advisory: SA18131 Print Advisory
Release Date: 2005-12-20

Critical: Highly critical
Impact: System access
Where: From remote
Solution Status: Unpatched

Software: Symantec AntiVirus Corporate Edition 10.x
Symantec AntiVirus Corporate Edition 8.x
Symantec AntiVirus Corporate Edition 9.x
Symantec AntiVirus for Caching 4.x
Symantec AntiVirus for Network Attached Storage 4.x
Symantec AntiVirus for SMTP Gateways 3.x
Symantec AntiVirus Scan Engine 4.x
Symantec AntiVirus/Filtering for Domino 3.x
Symantec Brightmail AntiSpam 4.x
Symantec Brightmail AntiSpam 5.x
Symantec Brightmail AntiSpam 6.x
Symantec Client Security 1.x
Symantec Client Security 2.x
Symantec Mail Security for Domino 4.x
Symantec Mail Security for Exchange 4.x
Symantec Mail Security for SMTP 4.x
Symantec Norton AntiVirus 2001
Symantec Norton AntiVirus 2002
Symantec Norton AntiVirus 2003
Symantec Norton AntiVirus 2004
Symantec Norton AntiVirus 2005
Symantec Norton AntiVirus 5
Symantec Norton AntiVirus 5.0 for OS/2
Symantec Norton AntiVirus Corporate Edition 7.x
Symantec Norton AntiVirus for Macintosh 10.x
Symantec Norton AntiVirus for Macintosh 9.x
Symantec Norton AntiVirus for Microsoft Exchange 2.x
Symantec Norton AntiVirus for Microsoft Exchange 3.x
Symantec Norton AntiVirus Solution 7.5
Symantec Norton Internet Security 2001
Symantec Norton Internet Security 2002
Symantec Norton Internet Security 2003
Symantec Norton Internet Security 2003 Professional
Symantec Norton Internet Security 2004
Symantec Norton Internet Security 2004 Professional
Symantec Norton Internet Security 2005
Symantec Norton Internet Security for Macintosh 3.x
Symantec Web Security 2.x
Symantec Web Security 3.x

Select a product and view a complete list of all Patched/Unpatched Secunia advisories affecting it.

Description:
Alex Wheeler has reported a vulnerability in Symantec AntiVirus, which potentially can be exploited by malicious people to compromise a vulnerable system.

The vulnerability is caused due to a boundary error in Dec2Rar.dll when copying data based on the length field in the sub-block headers of a RAR archive. This can be exploited to cause a heap-based buffer overflow and may allow arbitrary code execution when a malicious RAR archive is scanned.

The vulnerability has been reported in Dec2Rar.dll version 3.2.14.3 and potentially affects all Symantec products that use the DLL.

Solution:
Filter RAR archives at email or proxy gateways.

Provided and/or discovered by:
Alex Wheeler

Original Advisory:
http://www.rem0te.com/public/images/symc2.pdf


Bollettino di sicurezza Secunia

 

[france68]

Symantec: Falla Per Rar

Il software antivirus di Symantec contiene una vulnerabilità che può essere sfruttata da hackers malintenzionati per guadagnare il controllo completo di un sistema vulnerabile.


Secondo quanto riportano varie aziende specializzate, il bug, che affligge gran parte della gamma di prodotti di sicurezza di Symantec per piattaforma Windows e Macintosh, è da ritenersi altamente rischioso. Secunia, azienda specializzata in security alerts, classifica il problema come "highly critical".

La vulnerabilità è causata da un "boundary error" nella libreria Dec2Rar.dll che si verifica precisamente durante il pocessing di certi campi "length fields" presenti negli headers sub-block degli archivi RAR. L'errore può essere sfruttato per causare un heap-based buffer overflow e potenzialmente eseguire codice arbitrario durante lo scan di un archivio RAR malignamente modificato.

Secondo Alex Wheeler, il security consultant che ha scoperto la falla, i prodotti Symantec sono vulnerabili a svariati heap overflows che consentono agli eventuali attackers di guadagnare il completo controllo dei sistemi. Le vulnerabilità possono essere sfruttate nelle configurazioni predefinite del software, da remoto e senza richiedere l'interazione dell'utente, attraverso protocolli comuni come SMTP.

La falla è stata individuata nella versione 3.2.14.3 del file Dec2Rar.dll e affligge potenzialmente tutti i prodotti Symantec che ne fanno uso. La lunga lista di prodotti affetti include i recenti Symantec Norton AntiVirus 2005, Symantec AntiVirus Corporate Edition 10.x, Symantec Norton AntiVirus for Macintosh 10.x, Symantec Norton Internet Security 2005.

Symantec non ha ancora rilasciato una patch per correggere il problema. Nel frattempo, Wheeler consiglia agli utenti Symantec di disabilitare lo scanning dei files RAR.

 

[ERCOLINO]

Mettere sempre la Fonte di dove si prende la notizia

 

[france68]

c'e bisogno la conosci bene wintricks.it

 

[ERCOLINO]

Io si.

E' la netiquette di internet oltre che la regola,le notizie prese da altri siti vanno sempre messe riportanto la fonte di dove si è presa,questo per evitare ogni problema

 

[france68]

che tipo di problema ....................

 

[ERCOLINO]

Molti siti sono coperti da copyright e in alcuni casi bisogna avere l'autorizzazione per riportare la notizia da un'altra parte.

La fonte va sempre citata soprattutto per il rispetto della persona che si è data da fare per trovarla.


E' una regola basilare di internet.

Citare sempre le fonti.

Grazie.

 

[france68]

non sapevo fosse cosi importante visto che la stessa notizia la trovo in diversi siti................cmq sara' per la prossima volta............

 

[ERCOLINO]

Symantec conferma la falla