Symantec AntiVirus UPX文件解析库堆溢出漏洞

发布日期：2005-02-08
更新日期：2005-02-25

受影响系统：

Symantec Norton AntiVirus 9.0 for Macintosh
Symantec Norton AntiVirus 2004 for Windows
Symantec Norton AntiVirus 2004 for Macintosh
Symantec Gateway Security 2.01 5400 Series
Symantec Gateway Security 2.0
Symantec Gateway Security 1.0 5300 Series
Symantec Client Security 2.0
Symantec Client Security 1.0
Symantec Client Security
Symantec Brightmail Anti-Spam 5.5
Symantec Brightmail Anti-Spam 4.0
Symantec Internet Security for Macintosh 3.0
Symantec Internet Security 2004 for Macintosh
Symantec Internet Security 2004 (pro) for Windows
Symantec Norton System Works for Macintosh 3.0
Symantec Norton System Works 2004 for Windows
Symantec Norton System Works 2004 for Macintosh
Symantec AntiVirus Scan Engine 4.3
Symantec AntiVirus for SMTP 3.1
Symantec AntiVirus for Network Attached Storage
Symantec AntiVirus for Microsoft Exchange 2.1
Symantec AntiVirus for Caching
Symantec AntiVirus Corporate Edition 9.0
Symantec AntiVirus Corporate Edition 8.1.1
Symantec AntiVirus Corporate Edition 8.01
Symantec Mail Security Mail Security for SMTP 4.0
Symantec Mail Security for Microsoft Exchange 4.5
Symantec Mail Security for Microsoft Exchange 4.0
Symantec Mail Security for Domino 4.0
Symantec AntiVirus/Filtering for Domino Ports 3.0
Symantec AntiVirus/Filtering for Domino NT 3.1
Symantec Web Security 3.0

描述：

---

BUGTRAQ ID: 12492
CVE(CAN) ID: CVE-2005-0249

Symantec Antivirus库用于解析不同文件格式以检测恶意程序，其中一个模块DEC2EXE用于检测UPX文件格式。

Symantec Antivirus库用于检测UPX文件的模块对虚拟文件偏移缺少正确处理，远程攻击者可以利用这个漏洞构建恶意UPX文件，诱使用户处理，可能以用户进程权限在系统上执行任意指令。

在UPX解压缩前，当重构PE头时不正确检查虚拟文件偏移，攻击者可以提供一个负的虚拟偏移给特殊构建的PE头，在后续的边界计算时，使用这个整数值作拷贝操作，可导致一个堆溢出。攻击者可以发送一个包含恶意UPX文件的EMAIL给使用Symantec AntiVirus库处理的目标用户，可导致发生堆溢出，精心构建PE头数据可能以进程权限在系统上执行任意指令。

<*来源：ISS
Alex Wheeler

链接：http://xforce.iss.net/xforce/alerts/id/187
http://www.symantec.com/avcenter/security/Content/2005.02.08.html
*>

建议：

---

厂商补丁：

Symantec
--------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.symantec.com/avcenter/security/Content/2005.02.08.html

文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!