賽門鐵克防毒軟體爆漏洞，25項企業及消費安全產品可能受駭

Google Project Zero安全研究人員發現賽門鐵克（Symantec）旗下安全產品存在多項高風險漏洞，可能導致駭客取得用戶PC控制權限，從企業到消費者產品皆受影響。賽門鐵克已發佈安全公告與修補程式。
 
Google Project安全研究人員Tavis Ormandy指出，新發現的漏洞包括多個可植入後門程式的遠端程式碼執行漏洞。這些漏洞十分危險，不需要任何使用者互動就能產生危害，影響產品的預設組態，而且惡意軟體可以以最高權限執行。在某些Windows環境下，具有漏洞的程式碼甚至被載入核心，進而導致遠端核心記憶體毁損攻擊。
 
由於賽門鐵克所有產品線採用相同的核心引擎，因此這些漏洞將影響該公司旗下涵括17項企業產品品牌Symantec及8項消費品牌諾頓（Norton）防毒軟體，包括所有平台版本的Norton 360、Endpoint Protection、Email Security及Protection Engine，以及Symantec Protection for SharePoint Servers等。
 
其中名為CVE-2016-2208的漏洞存在賽門鐵克用於過濾執行檔封裝程式(packer)的軟體中，在Linux、Mac或其他Unix平台上，會引發堆積緩衝區溢位(heap overflow)攻擊，而在Windows平台則可能導致核心記憶體毁損。由於賽門鐵克以過濾驅動程式攔截所有系統I/O，因此只要將檔案或有害連結寄給受害者，就能觸發攻擊，無需開啟檔或任何互動行為。也因為要啟動它如此簡單，因此可能在Symantec及Norton產品客戶之間造成大規模災難，而駭客也能利用此類漏洞入侵公司網路。
 
其他漏洞還包括Dec2SS及Dec2LHA引擎的緩衝溢位漏洞、CAB壓縮檔記憶體毁損、MIME訊息修改記憶體毁損等多項高、低風險的漏洞。針對散佈於各軟體的漏洞，賽門鐵克已經分別釋出更新檔或修補程式來解決。賽門鐵克表示尚未有這些漏洞遭到廣泛開採的跡象。
 
防毒軟體有漏洞已不是新聞。事實上，Google Project Zero就曾在Eset、趨勢科技PC-Cillin、卡巴斯基、FireEye、McAfee等發現有安全漏洞。甚至賽門鐵克自己也不是第一次被爆有漏洞。