趋势科技杀软曝密码漏洞：允许远程代码执行

c习生

      来自谷歌的安全研究员Tavis Ormandy最近很忙。几周之前，他发现了AVG杀软扩展程序可以绕过Chrome商店中的审查机制，自动安装到用户的Chrome浏览器中，而且这个扩展还会泄露用户隐私。现在这位研究员又发现了趋势科技杀软密码管理器会泄露密码，并且为潜在的恶意代码攻击提供方便。

    存在问题的“密码管理器”工具被绑定在了Trend Micro Security 10杀软中，相关用户很容易受影响。另外这一工具也提供单独下载。这位谷歌研究员认为，这款工具在安全设计上存在缺失，攻击者可利用如下方式进行远程代码执行攻击：

• 该产品采用JavaScript结合node.js编写，打开多个HTTP RPC端口来掌控API请求。它将需要大约30秒的时间来允许任意一个命令执行，openUrlInDefaultBrowser，最终映射到ShellExecute()。

• 以下为示例：

x = new XMLHttpRequest()
x.open("GET", "https://localhost:49155/api/openUrlInDefaultBrowser?url=c:/windows/system32/calc.exe true); try { x.send(); } catch (e) {};

    在Ormandy向趋势科技通报这个问题两天后，他再次与该公司联系，称其中存储的所有密码都已经泄露，并且批评该公司缺乏必要的安全管理措施，这种“低级错误”不该犯。这种问题意味着网上的任何人都可以利用这种方式“静、净”地盗取用户的所有密码，用户必须提起注意。

    现在趋势科技已经对该问题进行了修复，相关用户应该及时安排软件升级，消灭该漏洞。

蓝天二号

谷歌的安全研究员 好厉害的样子。。。。

猪头无双

国内版压根没这个组件，怕毛

我是隔壁的小号

猪头无双 发表于 2016-1-14 15:39
国内版压根没这个组件，怕毛

貌似和使用习惯有关系，国外喜欢填充密码。

猪头无双

我是隔壁的小号 发表于 2016-1-14 16:37
貌似和使用习惯有关系，国外喜欢填充密码。

据说国际版这个组件不是默认运行的

pal家族

Tavis Ormandy真勤快
@尘梦幽然

尘梦幽然

pal家族 发表于 2016-1-14 19:47
Tavis Ormandy真勤快
@尘梦幽然

这个帖子旧闻了，之前发过我也解释过了。一者这个功能只有个人版pcc有，二者国内版没有，国际版需要用户手动启用，三者这漏洞并没有被其他人利用的迹象……

尘梦幽然

我是隔壁的小号 发表于 2016-1-14 16:37
貌似和使用习惯有关系，国外喜欢填充密码。

趋势科技犯这个错是不应该。不过没有想象中的严重

QINGMU

这人牛啊。