スキャンバイパスの脆弱性
エフセキュア Linux セキュリティ製品にスキャンをバイパスする脆弱性が見つかりました。
対象製品では、マルウェアのスキャンがバイパスされる可能性があります。
この脆弱性により、状況によってはマルウェアが実行され、システムが感染する危険性があります。
エフセキュアでは本件に起因した被害報告は現時点で受けておりません。
リスクレベル:
高 (低/中/高/重大)
事象:
Linux セキュリティ フルエディションにおいて、RedirFS を利用したリアルタイム
（オンアクセス）スキャンが root以外のファイルシステムで動作しない。
影響を受ける製品とバージョン:
エフセキュア Linuxセキュリティ フルエディション 9.10-9.11
影響を受けるプラットフォーム:
Centos 6.0
Debian 5.0
Debian 6.0
Fedora 8
Red Hat Enterprise Linux 6
SUSE Linux Enterprise Server 11
Ubuntu 8.04
Ubuntu 10.04
Ubuntu 10.10
注:
影響を受ける製品は、上記以外のプラットフォームもサポートしています。上記以外の
プラットフォームにインストールされている場合、脆弱性の影響はありません。
CentOS6は、エフセキュア Linuxセキュリティ フルエディション 9.10-9.11で
サポート対象ではありませんが、参考として記載しています。
CentOS6.0は本脆弱性の修正を行っているバージョン9.12でサポート対象としています。
注:
影響を受ける製品バージョンは、最新のバージョンではございません。推奨される
解決方法は、バージョン 9.12 へのアップグレードです。Hotfix はアップグレードが
不可能な環境に向けて提供されます。
緩和要素:
・上記以外のプラットフォームでは、Linux セキュリティ フルエディションは Dazuko
ドライバーをデフォルトで使用し、これは脆弱性の影響を受けません。
・マニュアルスキャンは脆弱性の影響を受けません。
・コマンドラインエディションは脆弱性の影響を受けません。
対処方法：
・エフセキュア Linuxセキュリティ フルエディション バージョン9.12へのアップグレード
バージョン9.12は、以下の最新ソフトウェアダウンロードページから入手できます。
（ログインにはライセンス証書記載のユーザIDとパスワードが必要になります）
http://www2.f-secure.co.jp/download/
製品のインストール/9.10-9.11からのアップグレードは、root権限で以下のコマンドで行えます。
# tar zxvf f-secure-linux-security-9.12.1818.tar.gz
# chmod a+x f-secure-linux-security-9.12.1818
# cd ./ f-secure-linux-security-9.12.1818
# ./ f-secure-linux-security-9.12.1818
アップグレード後には、OSの再起動が必要になります。
・Hotfixの適用
製品のバージョンアップが難しい場合、以下のHotfixを適用してください。
ftp://ftp.f-secure.com/support/hotfix/fsav-linux/fsls-91x-oas-hotfix.tar.gz
Hotfixは、root権限で以下の方法で適用します。
1. 既存のファイルのバックアップを取得します。
# mkdir LS-dazuko-original-files
# cp -v /opt/f-secure/fsav/dazuko.fsecure.patch LS-dazuko-original-files/
# cp -v /opt/f-secure/fsav/sbin/fsoasd LS-dazuko-original-files/
2. パッチを適用します。
# tar fsls-91x-oas-hotfix.tar.gz
# cd fsls-91x-oas-hotfix
# patch -p1 -d /opt/f-secure/fsav/sbin/ <fsoasd.patch
# cp -v dazuko.fsecure.patch /opt/f-secure/fsav/dazuko.fsecure.patch
3. 既存のドライバーを削除します。
# rm -rfv /var/opt/f-secure/fsav/modules/2.6.*
4. 新しいドライバーのコンパイルを行います。
# /opt/f-secure/fsav/bin/fsav-compile-drivers
Hotfix適用後は、OSの再起動が必要になります。
Hotfixが正しく適用できているかどうかは、以下のコマンドで確認頂けます。
# dmesg | grep dazuko
以下のようなメッセージが表示された場合、適用に成功しています。
[ 3634.879592] dazuko: loaded, version=2.3.4-FSECURE-2012.02
対処方法で不明な点がある場合は、弊社サポートセンターまでお問い合わせください。
この脆弱性の詳細については、エフセキュア セキュリティ アドバイザリー FSC-2012-1 を参照してください。
本セキュリティ勧告は、以下のURLで公開されています。
http://www.f-secure.com/en/web/labs_global/security-advisories