SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant peut créer une archive RAR, CAB ou ZIP contenant un
virus qui n’est pas détecté par les produits Trend Micro.

Gravité : 2/4

Conséquences : transit de données

Provenance : document

Moyen d’attaque : aucun démonstrateur, aucune attaque

Compétence de l’attaquant : expert (4/4)

Confiance : confirmé par l’éditeur (5/5)

Diffusion de la configuration vulnérable : élevée (3/3)

Nombre de vulnérabilités dans ce bulletin : 3

Date création : 30/04/2009

PRODUITS CONCERNÉS
– Trend Micro Internet Security
– Trend Micro InterScan Messaging Security Suite
– Trend Micro InterScan Web Security Suite
– Trend Micro ScanMail
– Trend Micro ServerProtect

DESCRIPTION DE LA VULNÉRABILITÉ

Les produits Trend Micro détectent les virus contenus dans les
archives RAR, CAB et ZIP.

Cependant, un attaquant peut créer une archive légèrement
malformée, qui peut toujours être ouverte par les outils
Unrar/Unzip, mais que l’antivirus ne peut pas ouvrir.

Selon les produits Trend Micro, ces archives sont alors gérées de
trois manières.

OfficeScan et ServerProtect détectent le virus lorsque Unrar/Unzip
extrait l’archive sur le poste client. Ces produits sont donc
vulnérables s’ils sont installés sur un serveur de scan. [grav:2/4]

InterScan Web Security Suite et InterScan Messaging Security
mettent le fichier en quarantaine par défaut. Ces produits sont
vulnérables si l’administrateur a modifié la configuration par
défaut. [grav:2/4]

ScanMail laisse transister l’archive sans indiquer qu’elle
contient potentiellement un virus. Ce produit est vulnérable dans
la configuration par défaut. [grav:2/4]

Un attaquant peut donc créer une archive RAR, CAB ou ZIP contenant
un virus qui n’est pas détecté par les produits Trend Micro.

CARACTÉRISTIQUES

Références : BID-34763, TZO-17-2009, VIGILANCE-VUL-8683

http://vigilance.fr/vulnerabilite/Trend-Micro-contournement-via-RAR-CAB-et-ZIP-8683