「Symantec AV Corporate Ed.」のAlertハンドルセキュリティ問題

Symantec社のSymantecアンチウイルスコーポレートエディションのAMS（アラートマネジェメントシステム）のAlert Handlerセキュリティ問題が発見されました。下記バーション情報となります↓

Version: 10.1.8.8000 and earlier
Vendor: Symantec
Release Date: 26.07.2010
Issue Status: Reported To Vendor on 01/06/2010
Credit: SPIDER

対応履歴情報↓

01/06/2010 Reported Vulnerability to Vendor.
01/11/2010 Vendor acknowledged Receiving report
01/12/2010 Vendor Tried to convince me that this was XFR.exe issue
07/26/2010 Publishes Advisory

問題の説明↓

AMS2の「hndlrsvc.exe」のデサインエラーのバグがあり、リモート側からTCP/38292でhndlrsvc.exeに繋ぐと悪戯アラート状況を作れます。AMSの環境でパソコンのroot/administrator権限を取れるので、悪戯アラート状況に当たったら認証無しでPCのシステム関係コマンドをリモート側から実行される可能性が出ます。

解決方法↓

※本件のバグ情報は現在インターネットで交換されておりますので、早めに下記の解決方法の作成が必要。
・Symantec System Centerをアンインストールする
・AMSをアンインストールする
・Alert Handler (hndlrsvc.exe) のサービスを無効にする
・Symantec Endpoint Protectionの最新版バーションにアップグレードする

リファレンス↓

http://www.foofus.net/?page_id=149
http://securityvulns.com/news/Symantec/Antivirus/AMS.html
http://packetstormsecurity.org/filedesc/symantecams-flaw.txt.html

---
http://0day.jp
ゼロデイセキュリティリサーチチーム