Специалист Google Project Zero Тэвис Орманди (Tavis Ormandy) обнаружил опасную уязвимость в антивирусе Avast. Проблема затрагивает jаvascript-движок антивируса компании, который используется для анализа jаvascript-кода на наличие вредоносных программ, прежде чем его выполнение будет разрешено в браузере или почтовом клиенте.

Орманди пишет, что любые уязвимости в этом процессе являются критическими и легки в эксплуатации для удаленных злоумышленников. Причем по умолчанию jаvascript-движок функционирует не в песочнице.

В начале текущей недели эксперт обнародовал инструмент, который он использовал для анализа антивируса Avast, и поведал об обнаруженной проблеме. Так, оказалось, что достаточно отправить пользователю Avast вредоносный JS- или WSH-файл по электронной почте или обманом вынудить жертву получить доступ к вредоносному jаvascript. В результате, когда антивирус загрузит и запустит вредоносный код jаvascript внутри собственного кастомного движка, на компьютере будут выполнены вредоносные операции с правами уровня SYSTEM (к примеру, в систему может быть установлена малварь).

Хотя Орманди уведомил инженеров Avast о проблеме неделю назад, патча для уязвимости по-прежнему нет. Зато разработчики антивируса решили временно отключить опцию антивирусного сканирования jаvascript, пока не будет готово исправление.

Теги: CSS