Le logiciel de sécurité de Trend Micro installé un «serveur de test» sur ses ordinateurs des utilisateurs qui pourraient être attaqués par l'Internet. Dans le pire des cas , les attaquants pourraient prendre le contrôle total sur l'ordinateur, selon Tavis Ormandy, un chercheur de Google de sécurité. Ormany appelle la question , "ridiculement facile à découvrir et à exploiter".
Le serveur de test était un soi-disant «serveur de débogage à distance» qui a été installé sur les ordinateurs exécutant Trend Micro Maximum Security, Trend Micro Premium Security et Trend Micro Password Manager. Le serveur a été démarré par défaut et a écouté les connexions sur localhost. Selon Ormany la question pourrait être facilement exploitée avec un certain Javascript. Lorsqu'il est exécuté avec succès, il permettrait à un attaquant de prendre en charge l'ensemble du système.
Ormandy informé Trend Micro le 22 Mars sur la question. Selon Trend Micro le coupable était un module tiers et il faudra du temps pour déchiffrer le code source, désactivez le serveur, puis ajoutez le code modifié à leurs produits. Néanmoins, plusieurs jours plus tard, l'entreprise a expédié un patch temporaire. Un patch qui devrait résoudre totalement le problème devrait être libéré dans les prochaines semaines.
Aucun commentaire:
Enregistrer un commentaire