[NEWS] McAfee ePolicy Orchestrator Framework Service Format String Vulnerability

[c.m.g]

13 marzo 2008


La società di sicurezza Secunia ha riportato un advisory (SA29337) in cui si spiega che Luigi Auriemma (noto security researcher italiano) ha scoperto una vulnerabilità in McAfee ePolicy Orchestrator 4.x, giudicata dalla stessa come Moderately critical, il quale può essere usata da malintenzionati per eseguire attacchi di tipo DoS (Denial of Service) o potenzialmente compromettere un sistema vulnerabile.

Il bug risiederebbe in un errore del format string contenuto nel Servizio Framework di McAfee (precisamente nel file FrameworkService.exe) che può essere sfruttato da malintenzionati attraverso pacchetti di dati creati appositamente contenenti format string specifici che vengono spedite di default sulla porta 8082/UDP.
Lo sfruttamento di questo bug farebbe andare in crash Il servizio Framework e potrebbe permettere l'esecuzione di codice arbitrario da parte di un malintenzionato nel contesto di una rete locale.

La vulberabilità è stata confermata in McAfee ePolicy Orchestrator version 4.0.0 (build 1015) che include FrameworkService.exe version 3.6.0.569 ma non si esclude che anche altre versioni siano affette.

Soluzione:
Al momento non è stata rilasciata fix o patch per risolvere in maniera definitiva il problema, quindi si raccomanda di limitare l'accesso alla rete al servizio.

Advisory d'origine:
http://aluigi.altervista.org/adv/meccaffi-adv.txt


Fonte: Secunia