Descoberta falha de segurança no Avast SafeZone

avast-safezone-browserDepois de encontrar brechas nos navegadores “especiais e seguros” embutidos nos produtos da Trend Micro e da Comodo, o pesquisador de segurança do Google Tavis Ormandy revelou também diversas vulnerabilidades no SafeZone, um navegador “seguro” incluído nas versões pagas do antivírus Avast. As falhas permitiam que sites na web obtivessem informações do computador da vítima, incluindo arquivos no disco rígido, além de informações de páginas em sessões autenticadas (como e-mails de um webmail).

Para que as falhas sejam exploradas, não é preciso que o navegador esteja em uso pelo internauta. Basta que o programa tenha sido instalado. A brecha foi relatada à Avast no dia 18 de dezembro e corrigida na semana passada, na quarta-feira (3).

A descoberta faz parte de uma série de análises realizadas por Tavis Ormandy para identificar falhas de segurança em antivírus. Ormandy, que é notório por se envolver em polêmicas, tem criticado certas atitudes de fabricantes de antivírus, como a criação de “navegadores seguros” para embutir nos produtos e a interferência com mecanismos de criptografia na web (HTTPS).

Ormandy trabalha no “Projeto Zero” do Google, uma iniciativa para identificar vulnerabilidades em aplicativos de uso popular em qualquer segmento.

Navegador listava arquivos
O navegador SafeZone da Avast é baseado no Chromium, que também serve de base aos navegadores Chrome, Vivaldi e Opera. Segundo Ormandy, a Avast removeu alguns recursos de segurança do Chromium, o que deixou o navegador vulnerável ao envio de comandos.

É possível listar pastas e arquivos presentes no disco de armazenamento do computador e também ler o conteúdo desses arquivos. Ormandy publicou uma imagem onde mostra o SafeZone listando na tela o conteúdo dos arquivos em “C:”. Normalmente, navegadores web não devem dar acesso à lista de arquivos armazenados localmente, já que isso coloca o internauta em risco.

Esta é a segunda brecha que Ormandy identifica em um produto da Avast. A primeira estava no processamento de certificados de sites seguros. O antivírus interfere nesse processo para tentar oferecer uma proteção maior aos internautas, mas Ormandy considerou a falha grosseira e ironizou a empresa, dizendo que ela devia ter “mandado um estagiário conferir” o código.

Jindrich Kubec, diretor de inteligência de ameaças da Avast, envolveu-se em uma discussão com Ormandy no Twitter, criticando o pesquisador por ele não perceber a utilidade desse tipo de proteção.

Além da Avast, Ormandy já encontrou brechas em produtos de diversas empresas: AVG, Trend Micro, Sophos, Eset, Kaspersky, Malwarebytes e Comodo.

Agradecemos ao Davi, colaborador amigo do seu micro seguro, pela referência a essa notícia.

Fonte: G1

4 Responses to Descoberta falha de segurança no Avast SafeZone

  1. Jocelino Piazza says:

    Proteção que gera vulnerabilidade, não é Proteção….parabéns pela matéria..

  2. José Pinheiro says:

    Caro Victor,

    Parabéns pelo post. Não há antivírus perfeito, como sabemos. Basta vermos os vídeos publicados pelo Yan Dago no youtube, com diversos antivírus. Por isso, é bom que o usuário saiba por onde andar na internet. Continue, por favor, a publicar matérias como esta.

    Até breve.

    • Victor Hugo says:

      José Pinheiro,
      Costumo dizer que não existe o “melhor” antivírus pois nenhum deles tem apenas prós, pois se assim fosse teríamos o software de segurança perfeito, e perfeição não é coisa de nosso mundo.
      Muito obrigado pelo seu comentário e participação, um estímulo ao meu trabalho!
      Abraço!

%d blogueiros gostam disto: