Vulnerabilidad de Seguridad/UNAM−CERT UNAM−CERT

UNAM−CERT
Vulnerabilidad de Seguridad/UNAM−CERT
UNAM−CERT
Departamento de Seguridad en Cómputo
DGSCA−UNAM
Vulnerabilidad de Seguridad UNAM−CERT−2006−117
Múltiples vulnerabilidades en Panda ActiveScan
Han sido descubiertas múltiples vulnerabilidades en Panda ActiveScan
Fecha de Liberación: 16 de Noviembre de 2006
Ultima Revisión:
16 de Noviembre de 2006
Fuente:
SA21763
Sistemas Afectados
Panda ActiveScan
<5.54.01
Riesgo
Alto
Problema de Vulnerabilidad
Remoto
Tipo de Vulnerabilidad
Múltiples vulnerabilidades
I. Descripción
Han sido descubiertas dos vulnerabilidades y una debilidad en Panda
ActiveScan, la cual puede ser explotada por personas maliciosas para revelar
información del sistema, causar una negación de servicio y comprometer un
sistema de usuario.
1. El método “Reinicializar()” en el control ActiveX “ActiveScan.1”
permite reiniciar el sistema cuando es invocado. Esta vulnerabilidad
puede ser explotada por ejemplo si una persona visita un sitio web
malicioso se reiniciará su equipo sin pedir ninguna confirmación del
usuario.
Descripción
1
UNAM−CERT
2. El método “ObtenerTamano()” en el control ActiveX “PAVPZ.SOS.1”
retorna el tamaño de archivo de un nombre de archivo local. Esta
vulnerabilidad puede ser explotada por ejemplo un sitio web malicioso
puede determinar la presencia de archivos locales y el correspondiente
tamaño de los archivos.
3. El método “Analizar()” en el control ActiveX “ActiveScan.1” no salva
los hilos. Esto puede ser xplotado por ejemplo por un sitio web
malicioso vía race condition puede corromper la memoria y ejecutar
código arbitrario.
II. Impacto
Los usuarios que cuenten con esta versión de Panda ActiveScan son venerables
a múltiples vulnerabilidades las cuales pueden comprometer su equipo.
III. Solución
Actualizar a la versión 5.54.01
http://www.pandasoftware.com/products/ActiveScan.htm
IV. Referencias
http://secunia.com/advisories/21763/
El Departamento de Seguridad en Cómputo/UNAM−CERT agradece el apoyo en la
traducción, elaboración y revisión de éste Documento a:
• Roberto Sanchez Soledad (rsanchez at seguridad dot unam dot mx)
• Jesús Mauricio Andrade Guzmán (mandrade at seguridad dot unam dot mx)
UNAM−CERT
Equipo de Respuesta a Incidentes UNAM
Departamento de Seguridad en Cómputo
E−Mail: [email protected]
http://www.cert.org.mx
http://www.seguridad.unam.mx
ftp://ftp.seguridad.unam.mx
Tel: 56 22 81 69
Fax: 56 22 80 43
Impacto
2