发布日期：2006-10-30
更新日期：2006-12-09

受影响系统：

Sophos Anti-Virus <= 6.0.4

不受影响系统：

Sophos Anti-Virus 6.0.5

描述：

---

BUGTRAQ  ID: 20816,21509
CVE(CAN) ID: CVE-2006-4839,CVE-2006-5645,CVE-2006-5646,CVE-2006-5647

Sophos Anti-Virus是一款适用于多种操作系统的杀毒软件。

Sophos Anti-Virus的Petite插件在处理手工构造的包含有大量超大扇区的Petite文档时存在漏洞，攻击者可能利用此漏洞导致反病毒引擎拒绝服务。

如果设置了“允许扫描文档”的话，则攻击者可以构造畸形的RAR文档，将Archive Header部分的head_size和pack_size字段设置为0。如果Sophos Anti-Virus用户扫描了上述文档的话，就会触发死循环，导致拒绝服务。

如果允许扫描文档的话，远程攻击者就可以构建特制的CHM文件，将LZX解压头指定Window_size为0。如果Sophos Anti-Virus用户扫描了上述文档的话，就会触发堆溢出，导致拒绝服务。

远程攻击者还可以通过CHM块首部中设置了很大名称长度的畸形CHM文件导致Sophos Anti-Virus拒绝服务，或执行任意代码。

<*来源：iDEFENSE
  
  链接：http://secunia.com/advisories/22635/
        http://www.sophos.com/support/knowledgebase/article/7609.html
        http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=452
        http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=451
        http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=439
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

http://www.milw0rm.com/sploits/12102006-sophos_intifiniti.rar
http://www.milw0rm.com/sploits/12092006-sophos_namelen.chm
http://www.milw0rm.com/sploits/12092006-sophos_chunkheap.chm

建议：

---

厂商补丁：

Sophos
------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.sophos.com/

浏览次数：2933
严重程度：0（网友投票）