CVE-2018-8090

DLL-перехват в Quickheal Total Security/ Internet Security/ Antivirus Pro (Установщики)

Затронутые продукты:

• Quick Heal Total Security - 17.00
• Quick Heal Internet Security - 17.00
• Quick Heal AntiVirus Pro - 17.00

Затронутые установщики:

• Quick Heal Total Security 64 bit 17.00 (QHTS64.exe), (QHTSFT64.exe) - Version 10.0.1.38
• Quick Heal Total Security 32 bit 17.00 (QHTS32.exe), (QHTSFT32.exe) - Version 10.0.1.38
• Quick Heal Internet Security 64 bit 17.00 (QHIS64.exe), (QHISFT64.exe) - Version 10.0.0.37
• Quick Heal Internet Security 32 bit 17.00 (QHIS32.exe), (QHISFT32.exe) - Version 10.0.0.37
• Quick Heal AntiVirus Pro 64 bit 17.00 (QHAV64.exe), (QHAVFT64.exe) - Version 10.0.0.37
• Quick Heal AntiVirus Pro 32 bit 17.00 (QHAV32.exe), (QHAVFT32.exe) - Version 10.0.0.37

Все вышеперечисленные установщики допускают DLL-перехват из-за небезопасной загрузки библиотек. Поскольку все эти установщики требуют прав администратора, существует возможность загрузить и выполнить код с правами администратора.

DLL-библиотеки, которые могут быть загружены в 32-разрядных версиях:

• cryptsp.dll
• cryptnet.dll
• cryptbase.dll
• gpapi.dll
• ncrypt.dll
• profapi.dll
• sensapi.dll
• userenv.dll

DLL-библиотеки, которые могут быть загружены в 64-разрядных версиях:

• cryptsp.dll
• cryptbase.dll
• iphlpapi.dll

Хронология:

• 04/дек/2017 - Сообщение об уязвимости в Quickheal
• 25/дек/2017 - Quickheal подтвердил уязвимость
• 27/апр/2018 - Уязвимость устранена (Версия Total Security - 10.0.1.46)
• 23/июл/2018 - Вознаграждение получено (30 000 рупий)

Дополнительные ссылки

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-8090

https://nvd.nist.gov/vuln/detail/CVE-2018-8090