McAfee Virus Scan Enterprise for Linux には、次の複数の脆弱性が存在します。 情報漏えい (CWE-200) - CVE-2016-8016 当該製品のウェブインターフェースでは、複数のページでパラメータ tplt を使用しています。当該製品のユーザ権限をもつ遠隔の攻撃者がパラメータ tplt の値を細工してアクセスすることで、(本来アクセスを許可されておらず存在有無の確認もできないはずの) ファイルの存在有無をエラーメッセージから判断することが可能です。 特殊要素の不適切なサニタイジング (CWE-75) - CVE-2016-8017 当該製品のユーザ権限を持つ遠隔の攻撃者は、入力中にテキスト要素 "__REPLACE_THIS__" や、"[%" および "%]" などを含めることで、ログデータにこれらのテキスト要素を記録させることが可能です。これらのテキスト要素は、ログ読み込み処理などを行うシステムプロセスでは特別な意味を持つ文字列として扱われており、細工したテキスト要素をログに記録させることで、コマンドとして実行させることが可能です。 本脆弱性を使用することで、遠隔の攻撃者は nails ユーザとしてウェブサーバからファイルを取得することが可能です。 クロスサイトリクエストフォージェリ (CWE-352) - CVE-2016-8018 当該製品のウェブインターフェースは CSRF 対策トークンを使用していないため、クロスサイトリクエストフォージェリに対して脆弱です。 クロスサイトスクリプティング (CWE-79) - CVE-2016-8019 当該製品のウェブインターフェースでは、複数のページでパラメータ tplt を使用しています。NailsConfig.html または MonitorHost.html を指す URL でパラメータ tplt が使用されている場合、ブラウザに返されるレスポンス中のパラメータ info:7 および info:5 にはユーザ入力がそのまま含まれ、適切な検証処理が行われません。遠隔の第三者は info:7 または info:5 の値を改ざんすることで、ユーザのウェブブラウザ上で任意のスクリプトを実行することが可能です。 コードインジェクション (CWE-94) - CVE-2016-8020 システムスキャンフォームの最終ページで使用されている変数 nailsd.profile.ODS_9.scannerPath には、システムがスキャンを実行する際に使用するコマンドを指すパスが含まれています。当該製品のユーザ権限を持つ遠隔の攻撃者は細工した HTTP リクエストでこの値を改ざんすることで、任意のコマンドを root 権限で実行することが可能です。 デジタル署名の不適切な検証 (CWE-347) - CVE-2016-8021 当該製品のウェブインターフェースはファイルのデジタル署名を適切に検証していません。遠隔の攻撃者は、詐称したアップデートサーバにアクセスさせることで、当該製品上で任意のコードを実行することが可能です。 なりすましによる認証回避 (CWE-290) - CVE-2016-8022 当該製品のウェブインターフェースは、ユーザの IP アドレスを含んだ認証用 Cookie を使用しています。遠隔の攻撃者は Cookie に含まれる IP アドレスを改ざんすることで、ユーザになりすますことが可能です。 不変と想定されるデータの改ざんによる認証回避 (CWE-302) - CVE-2016-8023 当該製品のウェブインターフェースは、サーバの起動時刻をパラメータ DATE として含む認証用 Cookie を使用しています。遠隔の攻撃者はパラメータ DATE に記録されているサーバの起動時刻を総当たり (brute force) で割り出し、認証を回避することが可能です。 HTTP レスポンス分割 (CWE-113) - CVE-2016-8024 遠隔の攻撃者はシステムログの CSV 出力を得るための HTTP GET リクエストを改ざんして URL エンコードされた改行文字を含めることで、HTTP レスポンスに任意のヘッダを挿入することが可能です。 SQL インジェクション (CWE-89) - CVE-2016-8025 ウェブインターフェースの CSV ログ出力機能では、HTTP リクエスト中に SQL コマンドが URL エンコードされています。遠隔の攻撃者は任意の SQL コマンドを URL エンコードして HTTP リクエストに挿入することで、バックエンドの SQLite データベース上で任意の SQL コマンドを実行することが可能です。このデータベースには設定内容や過去にスキャンを行ったファイルの情報のみが保存されており、認証情報は含まれていません。 これらに関する詳しい情報は、開発者が提供する情報および研究者のブログ投稿をご確認ください。 開発者が提供する情報 https://kc.mcafee.com/corporate/index?page=content&id=SB10181 研究者のブログ投稿 https://nation.state.actor/mcafee.html

[Endpoint Security にアップグレードする] McAfee は、これらの脆弱性を修正した Endpoint Security を提供しています。Endpoint Security version 10.2 およびそれ以降を使用してください。Endpoint Security へのアップグレードは無料です。