赛门铁克企业防毒出现能让骇客任意窜改档案的漏洞，IT顾问公司Accenture揭露相关细节

拥有高市占的赛门铁克企业防毒软件（Symantec Endpoint Protection，SEP），自去年的下半年开始，出现了不少严重的漏洞，像是本地端权限漏洞，可让骇客随着SEP启动在受害电脑持续载入恶意程式，还有因病毒码更新导致电脑出现BSOD而无法使用等情况，再加上赛门铁克的企业安全业务，被博通（Broadcom）买下后，SEP能否继续得到妥善维护？引发用户高度的关注。

我们看到最近有中国网站翻译一篇文章，内容是知名的IT顾问公司Accenture，针对一个SEP用户端在半年前被发现的漏洞，揭露细节与概念性验证攻击。这个漏洞的列管编号是CVE-2020-5825，影响Windows版的SEP，以及中小企业版本的Symantec Endpoint Protection Small Bussiness Edition（SEP SBE），赛门铁克已推出14.2 RU2 MP1（14.2.5569.2100）版修补相关漏洞。这项漏洞目前没有传出遭到滥用的情况，虽然大部分采用SEP的端点电脑，应该都会自动更新，但如果不是受到集中控管的端点电脑，Accenture呼吁，使用者应该要赶紧安装新版软件。不过，为何在事隔半年后，才揭露这项漏洞的详细资料，Accenture没有进一步说明。

这项漏洞能够让骇客，借由没有特殊权限的本地端使用者账号，发动任意档案移动（Arbitrary File Move）攻击。Accenture发现这项漏洞后，向Zero Day Initiative（ZDI）通报，ZDI评估其CVSS 3.0版的风险等级为7.1分，严格来说，算是风险程度偏高的漏洞。根据ZDI的说明，这项漏洞存在于SEP的AvHostPlugin.dll，能被本地端的攻击者滥用，借由呼叫某个COM类别的方法，来移动受害电脑里的任意档案，进而发动阻断服务（DoS）攻击。ZDI指出，骇客也可搭配其他的弱点，来提升存取权限，并且在系统层执行程式码。

所谓的任意档案移动，也被称为任意档案写入（Arbitrary File Writing），指的是允许用户从受控管的资料夹，将档案移动到其他路径能随意将档案写入目标电脑，而能够被滥用于在系统上下文任意程式码执行。而在赛门铁克的公告里，则是指出因为会导致任意档案写入攻击，骇客从而能够在没有充分权限的情况下，复写受害电脑里现有的档案。