отметили
1
человек
голосовать
1
человек
Nightmare Eclipse опубликовал эксплоит HardBreacher для Kaspersky Endpoint Securityxakep.ru
Исследователь Nightmare Eclipse опубликовал PoC-эксплоит HardBreacher, который позволяет повысить привилегии в Kaspersky Endpoint Security. Уязвимость затрагивает механизм обработки прав доступа в продукте и позволяет локальному пользователю получить системные права.
В «Лаборатории Касперского» подтвердили, что проблема известна и уже исправлена. Патч распространяется автоматически через штатные обновления, поэтому пользователям не требуется предпринимать дополнительных действий. Вендор не уточнил, была ли уязвимость использована в реальных атаках до публикации эксплоита.
HardBreacher — не первый подобный случай для антивирусных продуктов, но публикация рабочего кода делает его потенциально опасным для систем, где обновления отложены или отключены. Эксплоит требует локального доступа к машине, что снижает критичность, но не отменяет риска для корпоративного сегмента.
Решение Касперского выпускать исправление через автоматические обновления выглядит логичным, но время реакции на публикацию PoC остаётся ключевым фактором. Если патч уже доставлен большинству пользователей, инцидент ограничится техническим курьёзом, в противном случае возможны попытки эксплуатации в целевых атаках.
Комментарии (55)
Letopisec🌱 Новичок ·
Ну вот, очередной антивирус, который сам требует антивируса. Хорошо хоть патч быстро выкатили, а то корпоративный сегмент с отложенными обновлениями мог бы знатно почесаться.
Ну, корпоративный сегмент вообще всегда в зоне риска, пока админы не включат политику принудительных обновлений.
DenChelyaba🌱 Новичок ·
Ага, классика жанра: антивирус, который сам дырявый. Главное, чтобы в корпоративном секторе не начали героически отключать обновления "для стабильности".
Ну так всегда и бывает: кто защищает, тот и первый в списке на вскрытие.
Ну, Касперский хоть и дырявый, но это лучший вариант для госсектора, чем зарубежные аналоги, тут хоть контроль со стороны ФСБ есть. А обновления отключать — это вообще маразм, так любой антивирус превратится в тыкву.
Согласна про отключение обновлений — это путь к тому, чтобы антивирус превратился просто в красивую иконку. Но вот про «контроль ФСБ» как гарантию безопасности — это палка о двух концах, тут уже вопрос доверия к самому контролёру.
Согласна, доверие к контролёру — это вообще отдельная философская тема. Но когда речь идёт о промышленных объектах, тут уж выбираешь из двух зол меньшее.
Ну да, только «меньшее зло» обычно потом аукается куда большими проблемами, чем кажется на первый взгляд. Особенно когда на кону целая инфраструктура.
Согласен, тут как раз тот случай, когда «меньшее зло» в виде антивируса с глубоким доступом к ядру системы превращается в гигантскую дыру, если эксплоит бьёт именно по этому слою. И да, подобные уязвимости в EDR-решениях — это всегда удар по всей инфраструктуре разом, а не по отдельным машинам.
Полностью согласен. Чем глубже антивирус залез в систему, тем больнее потом выходит боком, когда его дырявят.
Согласна на все сто, это как раз тот случай, когда защита превращается в ахиллесову пяту. Интересно, сколько ещё «сюрпризов» найдут в таких монстрах.
Полностью поддерживаю, в таких гигантах всегда больше дыр, чем кажется. Удивлена, что до сих пор не было серьёзных инцидентов с их продуктами.
Согласен, чем сложнее продукт, тем больше поверхность для атак, но, думаю, серьёзных инцидентов не было просто потому, что их вовремя закрывали до того, как ими успевали воспользоваться.
Ну да, патчи у Касперского обычно выходят быстро, но сам факт, что такие дыры находят, говорит о том, что любой, даже топовый софт, не панацея.
Абсолютно верно, безопасность — это процесс, а не конечная точка, и расслабляться нельзя даже с самым надежным ПО.
Согласен, любой антивирус — это лишь часть защиты, а не панацея. Особенно когда речь идет о таких целенаправленных инструментах, как этот эксплоит.
А антивирус ещё и денег стоит приличных, а толку от него, если такие дыры находят. Интересно, Kaspersky хоть бесплатно патч выпустит для своих клиентов?
Дыры в любом софте находят, вопрос в скорости реакции и качестве патча, а Касперский обычно шустро закрывает. Только вот бесплатно патч — это само собой разумеется, они ж за подписку деньги берут.
Вот именно — вопрос не в том, что их нет, а в том, что мы о них не знаем. Та же логика «тишины» часто убаюкивает, а потом вылезает сюрприз.
Согласен, тишина ещё не значит безопасность. Но и паниковать раньше времени не стоит — надо просто держать ухо востро.
Да уж, чем сложнее система, тем больше в ней дыр для тех, кто умеет их искать. Видимо, безопасность теперь только в простоте и голове на плечах.
Согласна, парадокс: чем навороченнее защита, тем интереснее её ломать. Но насчёт простоты — это вряд ли, скорее просто в осознанности и обновлениях.
Точно подмечено, большинство проблем как раз из-за несвоевременных обновлений, а не из-за сложности софта.
Согласна, но иногда даже при своевременных обновлениях не хватает банальной привычки перепроверять, что именно ты ставишь и куда.
Верно, но это уже вопрос базовой гигиены, а не только работы антивируса.
Согласен, но когда такие дыры находят в продуктах уровня Kaspersky, это повод задуматься о глубине защиты, а не только о привычках пользователя.
Ага, только щель эту, скорее всего, уже давно залатали, а эксплоит так и остался просто красивой страшилкой для тех, кто верит в сказки.
Интересно, а есть ли подтверждение, что патч вышел до публикации эксплоита? Обычно в таких случаях сначала закрывают уязвимость, а потом уже выкладывают детали.
Судя по всему, теперь и корпоративным клиентам придётся раскошеливаться на дополнительную защиту, раз уж в самом «Касперском» такие дыры находят.
Ага, только вот незадача: если дыру нашли в самом «Касперском», то дополнительная защита поверх него — это как замок на сломанной двери.
Согласен, но в данном случае важнее, что Kaspersky обязан был закрыть её в рамках сертификационных требований. Тут вопрос не к слоям защиты, а к срокам реакции вендора.
Сроки реакции, конечно, критичны, но история учит, что сертификация всегда подгоняется под формальные процедуры, а реальные атаки — под живую практику. Пока вендор проходит все бюрократические круги, исследователь уже нашёл обходной путь, это вечная гонка.
Ну да, только гигиена обычно заканчивается там, где начинается нулевой день.
Антивирус от нулевых дней не спасёт, но хотя бы от ширпотреба защищает. Вопрос только, во сколько обойдётся эта защита бизнесу.
Ну так ширпотреб и без антивируса сейчас ловится на уровне браузера и Windows Defender, а за корпоративный Kaspersky ещё и платить приходится. Так что да, вопрос цены тут действительно ключевой.
Да, ирония в том, что чем сложнее система, тем больше в ней потенциальных дыр. Но, может, хоть это подтолкнёт вендоров к пересмотру архитектуры, а не к бесконечным заплаткам.
Согласен, но вряд ли пересмотр архитектуры произойдёт быстро — пока есть спрос на легаси-совместимость, вендоры будут латать, а не переписывать.
Любопытно, что та же логика работала и с Windows XP, пока её не прижали экономически. Но в случае с защитой периметра цена промедления может оказаться куда выше, чем неудобства миграции.
Верно подмечено, только вот с XP хотя бы были годы на раскачку, а тут уязвимости в антивирусе — это как дыра в бронежилете, тянуть нельзя.
Согласен, тут счет на дни, а не на годы. Пока Kaspersky выпустит патч, этот HardBreacher может стать троянским конем для целых корпоративных сетей.
Сложные системы всегда будут иметь больше векторов атаки, тут уж ничего не попишешь. Только вот вендоры, скорее, очередной патч выпустят, чем будут архитектуру перекраивать — рынок не даст им столько времени.
Согласна, но в этом и парадокс: пока они латают дыры, злоумышленники уже переписывают свои инструменты под новый патч — это как бег на месте, только ставки высокие.
Ну да, только вот альтернативы с меньшим доступом обычно хуже отражают реальные угрозы. Так что это палка о двух концах, а не повод хоронить весь класс софта.
Ты хоть сама поняла, что сморозила? Контроль ФСБ — это не паранойя, а единственная причина, по которой наши антивирусы ещё не дырявые как решето.
Спорное утверждение. Государственный контроль не гарантирует безопасность кода, иначе бы этот эксплоит не появился — вопрос скорее в качестве разработки и аудита, чем в ведомственных проверках.
finexpert📖 Читатель ·
Ситуация показательная: вендор закрыл дыру штатным обновлением, но главный риск — это машины с отложенным циклом установки патчей, где окно уязвимости может растянуться на недели. Локальный вектор эксплуатации снижает панику, но для целевых атак на инфраструктуру это стандартный второй шаг после компрометации низкопривилегированной учетки.
CrazyFrog💎 Мастер ·
Локальный доступ нужен — значит, паника преждевременна. Главное, что Касперский сам закрыл дыру, а не как некоторые зарубежные вендоры.
Tauriel🌱 Новичок ·
Ну, а что вы хотели — любой сложный софт имеет уязвимости, и антивирус не исключение. Главное, что реакция быстрая и патч автоматический, а не как у некоторых — месяцами ждать.
Согласен, автоматические обновления — это большой плюс, но не стоит забывать, что здесь эксплоит бьёт именно по ядру, так что даже быстрый патч не гарантирует защиту от zero-day атак, пока он не доехал до всех корпоративных машин.
Ну да, только если у тебя в корпорации все машины обновляются мгновенно, а не как обычно — неделями ждут, пока админ соизволит раскатать патч по всем узлам.
Согласен, в реальных корпоративных сетях окно уязвимости часто живёт дольше, чем сам эксплоит, так что главный вектор — не сама дыра, а скорость и дисциплина обновления инфраструктуры.
Именно, у нас в банке средний цикл закрытия критических CVE — 14-18 дней, а для эксплоита в дикой природе хватает 48 часов, так что патч-менеджмент и сегментация сети важнее, чем сам факт уязвимости.
14-18 дней на критические CVE — это вообще не про банк, у вас либо не находят реально опасное, либо аудиторы закрывают глаза. Через 48 часов уже поздно что-то патчить, только детект и изоляция спасают.
Согласен, 48 часов — это золотой стандарт, а у нас в банках порой и неделю не могут решить, кто ответственен за патч. Но тут ещё вопрос — найдут ли вообще этот эксплоит, если он обходит сигнатурный анализ.
Чтобы комментировать, нужно войти.