McAfee VirusScan Enterprise for Linux เป็น Application ที่มีพฤติกรรมหลายอย่างที่ Vulnerability Researcher ชอบ ไม่ว่าจะเป็นการรันด้วยสิทธิ์ root, มีความดังพอตัว, เหมือนว่าจะไม่ได้มีการ update มาเป็นระยะเวลานานแล้ว พยายามบอกว่าตัวเองจะทำให้ระบบปลอดภัยมากขึ้น :X

ในส่วน Application จะมี service 2 service; 1 service รันด้วย root และมีการ listen อยู่ที่ socket /var/opt/NAI/LinuxShield/dev/nails_monitor ส่วนอีก 1 service รันด้วย user ธรรมดาที่ชื่อว่า nails เป็น Web server ทำงาน listen อยู่ที่ 0.0.0.0:55443

Web Server ดังกล่าวเป็น UI สำหรับการ management engine เมื่อ user มีการร้องขอใดๆ จะมีการส่งต่อไปยัง root service กระทำต่ออีกที จากนั้นก็อาผลลัพธ์ของ root service กลับมาแสดงผลใน nail service แบบ HTML อีกที โดยช่องโหว่ใน Web Server มีดังนี้

  1. CVE-2016-8016: Remote Unauthenticated File Existence Test
  2. CVE-2016-8017: Remote Unauthenticated File Read (with Constraints)
  3. CVE-2016-8018: No Cross-Site Request Forgery Tokens
  4. CVE-2016-8019: Cross Site Scripting
  5. CVE-2016-8020: Authenticated Remote Code Execution & Privilege Escalation
  6. CVE-2016-8021: Web Interface Allows Arbitrary File Write to Known Location
  7. CVE-2016-8022: Remote Use of Authentication Tokens
  8. CVE-2016-8023: Brute Force Authentication Tokens
  9. CVE-2016-8024: HTTP Response Splitting
  10. CVE-2016-8025: Authenticated SQL Injection

เมื่อรวมผลลัพธ์ช่องโหว่ต่อๆกันจะทำให้เกิด Remote Code Execution ได้

Source:: State.actor