趋势PC-cillin密码管理惊爆漏洞，防毒软件恐成PC遭骇帮凶，Google专家直批荒谬

原本用于保护电脑的防毒软件，反而可能变成骇客入侵电脑的帮凶。全球宣称拥有百万使用者安装的防毒软件PC-cillin功能惊爆大漏洞。日前，一位多次发现防毒软件漏洞的Google Project Zero的抓虫大队资安研究员Tavis Ormandy 发现 PC-cillin软件密码管理机制（Password Manager）有漏洞，恐导致恶意网页能够远端执行在本机端的任意指令，甚至下指令删除使用者电脑上的硬盘资料或者植入入恶意程式皆可。台湾趋势科技产品经理朱芳薇表示，已经紧急修复问题，并列入强制自动更新项目，使用者只要确认密码管理通更新到最新版后就不会受影响。

漏洞恐让任何网页远端执行任何本地端指令，或窃取任何网站密码

Tavis Ormandy表示，趋势科技这个Password Manager是利用JavaScript写成，在本地端执行时则是使用跨平台的Node.js执行环境。但他发现，安装后会在Windows环境上会出现数个用来处理API呼叫的HTTP远端程序呼叫（RPC）通讯埠，骇客可以透过这些HTTP远端呼叫来执行本地端的ShellExcute函数，任意执行本地端的各种指令。

发现多次防毒软件漏洞的谷歌工程零时差抓虫大队资安研究员Tavis Ormandy 示范只要在网址输入特定网址指令，就可以执行本地端任何程式，例如下图为开启计算机的示范。

他解释，这意味着，任何网页可以透过几行呼叫本地端环境的JavaScript指令，就能在本机端执行任何指令，甚至可以直接执行一个脚本程式、或是直接下RD C:\ /S / Q 等指令，来删除硬盘系统磁区的档案。甚至，有一个远端呼叫API，可以直接将储存在Password Manager中的密码和网址汇出，造成使用者的密码外泄。

谷歌抓虫大队专家直批产品设计荒谬，建议找资安顾问稽核产品

Tavis Ormandy质疑，用JavaScript开发的Password Manager是透过浏览器来执行，但是趋势却关闭了执行环境的浏览器安全沙箱功能，此举让人无法理解。他以“荒谬”形容这样的设计，他说，从资安稽核的角度来看，Password Manager还有将近70个API可以透过互联网存取，姑且不论其安全性，但每个API就是一个让骇客可以存取系统机密的机会，资安公司写的产品功能，不应该出现这样的情况。他甚至呼吁，趋势应该赶快寻求资安顾问来稽核产品的安全性。

而朱芳薇表示，趋势科技在台湾时间1月6日凌晨5点多收到Google研究员的通报后，立即启动漏洞修补程序，也将修补的程式拿给Tavis 奥曼迪验证，并且陆续在1月9日，11日两度自动强制更新（ActiveUpdates）PC-cillin产品安全性，预计在1月14日还会第三度更新产品安全性。

密码管理通是PC-cillin的扩充工具，可自动记忆不同网站的密码，也提供单一密码自动登入的机制，在趋势PC-cillin防毒软件的Maximum安全10（完整版）和高级安全10则是内建功能。

朱芳薇表示，漏洞仅影响PC-cillin用户有安装密码管理通者，未影响其他趋势科技产品，她说，密码管理通升级到3.5.0.1298版以上就不受漏洞影响，使用者也应该立即手动更新，以确保系统安全。

多家防毒产品同样被谷歌抓虫大队找到漏洞

不只是趋势科技的防毒产品被Google抓虫大队资安研究员Tavis Ormandy找到漏洞，其他家防毒产品也有相同的命运。像是，他在2015年底就揭露防毒软件AVG在Chrome浏览器外挂Web TuneUp设计上有漏洞，可能造成数百万用户面临资料外泄或遭骇客远端攻击的风险。

另外，Tavis Ormandy也在去年9月揭露防毒软件卡巴斯基新版本中，出现一个远端攻击漏洞，而且是完全不需要互动的系统漏洞，藏匿在预设的配置中；去年6月则揭露Eset旗下所有防毒软件都存在一个允许骇客入侵电脑、读取修改及删除使用者电脑任何档案，并可使用摄影镜头或麦克风等外接装置，也能监控使用者的键盘纪录或网络流量的漏洞。

不过，Tavis Ormandy在漏洞揭露程序上也颇受争议，先前揭露微软漏洞只给5天时间修补，引发违反安全揭露漏洞程序争议；此次也在趋势科技开始修补漏洞5天后，便揭露相关程序引发批评。