La sécurité des logiciels Symantec fustigée de nouveau, Réactions à la publication du 30/06/2016

[Lionel]

En mai dernier, nous vous avions parlé d'une faille de sécurité majeure touchant les produits de sécurité Symantec et découverte par Tavis Ormandy.
Avis Ormandy en a publié une nouvelle couche et critique fortement la qualité de ces produits.

Il revient sur la faille principale découverte. Cette dernière était située dans le code de la partie logicielle chargée de décompresser les archives pour voir si elles ne sont pas compromises. Ce code a, pour commencer, la mauvaise idée d'être intégré directement dans le noyau de l'application et n'est pas sous forme autonome. Il est assez facile d'en provoquer le plantage et à partir de là de permettre l'exécution d'un autre code malveillant caché dans une pseudo archive. Donc, il n'est même pas nécessaire de lancer un logiciel pour être infecté, il suffit de laisser l'antivirus s'en charger tout seul....
Pourtant, il aurait du être efficace puisque dérivé de solutions open source éprouvée. Mais hélas, il n'a pas été mis à jour depuis sept ans, autant dire une éternité.

Symantec en prend donc pour son grade même si la société propose maintenant un correctif. C'est toute sa stratégie de sécurisation de ses produits qui est remise en cause de manière très dure.

Lien vers le billet original

[zero]

Symantec en prend donc pour son grade même si la société propose maintenant un correctif. C'est toute sa stratégie de sécurisation de ses produits qui est remise en cause de manière très dure.

Rien d'étonnant vu la qualité du produit.

[iAPX]

Symantec avec son "moteur" dans le niveau de sécurité du noyau ça a des avantages en termes de performances et de couverture (suivant la version et la plateforme), mais c'est une pure idiotie coté sécurité!

Quand à la décompression ou l'analyse de fichiers qui contiennent eux-même des documents inclus qui peuvent être compressées, la solution ne passe pas par une décompression par une librairie X ou Y (même maison ou parfaite), mais pas offrir ce service au niveau du système et là valider ce qui est décompressé, car suivant le décompresseur le document pourrait ne pas être interprété de la même façon.

Une attaque courante, notamment avec des documents inclus dans les documents PDF ou Office, avec ces fichiers corrompus de telle façon que l'antivirus ne peut le décompresser correctement, mais que Office (perclus de bug, donc des absences de vérifications, il faut le dire) décompresse lui, et qui passent donc entre les mailles du filet!

Ad-minima, l'antivirus devrait refuser les documents qui ne sont correctement compressés, au risque de refuser des documents Office "legit" mais créés par une versions pourrie d'office. Pas parfait, mais...

[Pom2Ter]

Symantec en prend donc pour son grade même si la société propose maintenant un correctif. C'est toute sa stratégie de sécurisation de ses produits qui est remise en cause de manière très dure.

Rien d'étonnant vu la qualité du produit.

Un peu blâmer les produits Symantec autant qu'on veut pour les logiciels pour particuliers...
Le fait est que depuis que j'ai travaillé chez IBM (il était appelé Symantec AntiVirus Corporate Edition à ce moment), à la Banque Nationale du Canada et maintenant à la ville de Montréal nous utilisons la plate forme Symantec Endpoint Protection (SEP) avec son gestionnaire centralisé (SEPm) et que c'est très répandu. J'ai d'ailleurs été envoyé en formation chez Symantec puisqu'elle est de plus en plus rencontrée et utilisée en entreprise. Les bases de sécurité utilisée par SEP ne sont pas les même que celles des produits Symantec Antivirus et Symantec Internet Security. C'est un produit beaucoup plus professionnel et performant. Il intègre un firewall, un antivirus et un système de prévention d'intrusion (IPS) qui peut interdire les usagers d'utiliser des clés USB sur les systèmes. Il intègre un système de rapports simple et d'alertes par poste et utilisateur qu'on peut configurer simplement et ensuite générer à partir de la console centrale. Il peut aussi être très simplement configuré pour envoyer des alertes par email pour des dizaines de situation prédéfinies. C'est une plate-forme parfaite pour les sys admins.