【未知】Avast Premium Security v21.11.2500 DOS任意文件写入

• <= 21.11.2500 (build 21.11.6809.528)

当恶意软件威胁检测被触发时，“AvastSvc.exe”将创建一个目录“C:$AV_ASW$VAULT”和一个文件“vault.db”。由于该目录为“Authenticated Users”分配了“Modify”权限，因此任何非特权用户都可以修改/写入此 Avast 控制目录。使用此设置，非特权用户可以通过创建从“vault.db”到特权位置（例如，C:WindowsSystem32、C:Program FilesAvast SoftwareAvast）的符号链接来实现任意文件写入.

通过滥用此漏洞，非特权用户可以将空 DLL（例如，USERENV.dll、WTSAPI32.dll 和 VERSION.dll）放到防病毒保护位置“C:Program FilesAvast SoftwareAvast”。当这些 DLL 被防病毒进程（即 AvastSvc.exe）加载时，这些 DLL 将导致错误并终止 Avast 防病毒。

影响

该漏洞可能允许非特权用户终止 Avast 防病毒软件并导致 DOS 进入受影响的系统。

重现步骤

安装 Avast Premium Security（版本 21.11.2500）并生成恶意软件检测警报

重命名/删除“C:$AV_ASW$VAULT”文件夹

创建一个新的“C:$AV_ASW$VAULT”并使用以下命令建立一个符号链接：（参见poc.png）

CreateSymlink.exe c:$AV_ASW$VAULTvault.db “C:Program FilesAvast SoftwareAvastpoc.dll”

再次触发恶意软件检测，“C:Program FilesAvast SoftwareAvastpoc.dll”随后将作为“NT AUTHORITY/SYSTEM”拖放到特权位置（参见poc1.png）

解析度

此漏洞自 Avast Premium Security 22.1 起已修复。

披露时间表

19-01-2022 向 Avast 报告了漏洞。

22-01-2022 Avast 的初步回应。

11-02-2022 Avast 确认了该漏洞并发布了产品补丁。