Trend Micro消除了软暴露密码漏洞: 允许远程执行代码

IT Home News来自Google的安全研究员Tavis Ormandy最近非常忙. 几周前，他发现AVG防病毒扩展程序可以绕过Chrome商店中的审查机制，并自动安装在用户的Chrome浏览器中，并且该扩展程序还会泄漏用户隐私. 现在，研究人员发现趋势科技的Anti-Soft Password Manager将泄漏密码并为潜在的恶意代码攻击提供便利.

有问题的“密码管理器”工具绑定到趋势科技安全管理10防病毒软件，相关用户容易受到影响. 另外，该工具也可以单独下载. Google研究人员认为，此工具的安全性设计存在缺陷. 攻击者可以使用以下方法来执行远程代码执行攻击:

•该产品结合使用JavaScript和node.js进行编写，打开多个HTTP RPC端口以控制API请求. 允许任何命令执行，openUrlInDefaultBrowser，最后映射到ShellExecute（），大约需要30秒.

•以下是示例:

x =新的XMLHttpRequest（）

x.open（“ GET”，“: 49155 / api / openUrlInDefaultBrowser？url = c: /windows/system32/calc.exetrue）;尝试{x.send（）;} catch（e）{}; <

在Ormandy通知趋势科技该问题两天后，他再次联系该公司，说存储在其中的所有密码均已泄露，并批评该公司缺乏必要的安全管理措施. 不应提交此“低级错误”. 此问题意味着Internet上的任何人都可以使用此方法“悄悄地”窃取用户的所有密码，并且用户必须注意.

现在趋势科技已解决了该问题，相关用户应及时安排软件升级以消除该漏洞. （来源: Google）

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-306063-1.html