McAfee sender ut sikkerhetsbulletin, retter feil som kan føre til privilegier på systemnivå

Kort fortalt: McAfee Agent, en komponent av selskapets ePolicy Orchestrator (ePO), distribueres til klientmaskiner for å rapportere data, status og håndheve retningslinjer. Tidligere denne uken ga selskapet ut en sikkerhetsbulletin som fremhever to CVE-er som påvirker tidligere versjoner av ePO-agenten utplassert for å støtte ePO-arbeid. Selskapet ga ut en oppdatert versjon av agenten som effektivt utbedrer sårbarhetene, som begge fikk høy alvorlighetsgrad.

Bulletinen identifiserte CVE-2021-31854 og CVE-2022-0166, to angrepsvektorer med høy alvorlighetsgrad som kan gjøre alle aktiva med McAfee ePO-agenter utplassert sårbare for angrep. I henhold til McAfee-veiledningen bør alle implementeringer med agenter tidligere enn versjon 5.7.5 distribuert oppdatere agenten eller risikere ytterligere eksponering.

Sikkerhetsbrevet gir en detaljert forklaring av hver CVE og kryssreferanser utnyttelsene mot MITER og National Institute of Standards and Technology (NIST) CVE-rapporter.

• CVE-2021-31854 – En kommandoinjeksjonssårbarhet i McAfee Agent (MA) for Windows før 5.7.5 lar lokale brukere injisere vilkårlig skallkode i filen cleanup.exe. Den ondsinnede clean.exe-filen plasseres i den relevante mappen og kjøres ved å kjøre McAfee Agent-distribusjonsfunksjonen i systemtreet. En angriper kan utnytte sårbarheten til å få et omvendt skall som kan føre til rettighetseskalering for å få root-rettigheter.
• CVE-2022-0166 – Et sikkerhetsproblem med rettighetseskalering i McAfee Agent før 5.7.5. McAfee Agent bruker openssl.cnf under byggeprosessen for å spesifisere OPENSSLDIR-variabelen som en underkatalog i installasjonskatalogen. En bruker med lav privilegium kunne ha opprettet underkataloger og utført vilkårlig kode med SYSTEM-privilegier ved å opprette den riktige veien til den spesifikt opprettede ondsinnede openssl.cnf-filen.

McAfee har gjort Agent versjon 5.7.5 tilgjengelig for brukere og administratorer som har i oppgave å utbedre sårbarhetene. Bulletinen gir brukere av McAfee-endepunkt- og ePO/server-produkter spesifikke trinn for å avgjøre hvorvidt deres ePO- og Agent-implementering er sårbar eller ikke. Når den er distribuert, vil ikke en hvilken som helst klientmaskin med agenten installert lenger være mottakelig for de identifiserte utnyttelsene.

McAfee ePO er et administrativt verktøy som brukes til å sentralisere administrasjonen av eventuelle endepunkter (PCer, skrivere, annet periferiutstyr) på en brukers nettverk. Det gir administratorer muligheten til sentralt å spore og overvåke ulike systemdata, hendelser og retningslinjer på tvers av alle kvalifiserte endepunkter i deres miljø.

Bildekreditt: Pixelcreatures