Vulnerabilitate în cadrul librăriei Telerik Analytics Monitor Library

2015/03/11
Popularitate 969

Foto:

Telerik Analytics Monitor Library este o bibliotecă terță parte, ce permite monitorizarea aplicațiilor ce o utilizează. Unele versiuni permit exploatarea unei vulnerabilități de tip DLL hijack, ce permite unui atacator încărcarea de cod malițios în aplicația ce găzduiește biblioteca Telerik.

Biblioteca Telerik Analytics Monitor Library este un DLL (Dynamic-link library) ce poate fi integrat într-o altă aplicație. Aceasta comunică static, prin intermediul propriului suport OpenSSL pentru  HTTPS. Vulnerabilitatea a fost introdusă în versiunea 3.2.96, lansată pe 3 August 2014. În această versiune, biblioteca OpenSSL a fost creată cu suport hardware, ce permite componentei Telerik încărcarea unui set de DLL-uri criptografice în runtime. Într-un sistem afectat, Telerik va încerca încărcarea a patru astfel de DLL-uri, ce nu fac parte din distribuția Telerik (csunsapi.dll, swift.dll, nfhwcrhk.dll, și surewarehook.dll).

DLL-urile componentei Telerik Analytics Monitor Library afectate sunt :

EQATEC.Analytics.Monitor.Win32_vc100.dll (pentru sisteme pe logică 32-bit);EQATEC.Analytics.Monitor.Win32_vc100-x64.dll (pentru sisteme pe logică 64-bit).

Impact

Un atacator poate profita de această vulnerabilitate, furnizând victimelor DLL-uri ce îi permit încărcarea de cod malițios în aplicația ce folosește Telerik. O posibilă țintă a atacatorilor ar putea fi sistemele de control industrial (Industrial Control Systems - ICS) ce folosesc Telerik Analytics Monitor Library.

Măsuri de soluționare

Pentru evitarea acestor pericole, este recomandată actualizarea aplicației.

Comportamentul descris mai sus, este modificat în Telerik Analytics Monitor Library versiunea 3.2.125, această versiune, precum și cele mai noi, ne-având suport hardware pentru OpenSSL. Cu toate acestea, Telerik recomandă trecerea la versiunea 3.2.129, în care sunt rezolvate și alte probleme de securitate.

Referințe

[1]. http://www.kb.cert.org/vuls/id/794095

[2]. http://www.telerik.com/support/whats-new/analytics/release-history/analytics-monitor-library-3.2.125


Vizualizat de 826 ori