谷歌著名安全研究員提供進一步證據證明 殺毒軟件有時也是黑客入侵的渠道。

塔維斯·奧曼迪（Tavis Ormandy），谷歌信息安全工程師，發現 趨勢科技殺毒產品中存在漏洞，可致任意網站執行遠程代碼盜取用戶的所有密碼。趨勢科技表示，已修復該漏洞及另一個遠程執行漏洞。

本周一趨勢科技針對此漏洞回應，“根據我們的標準漏洞響應流程，與奧曼迪協作，確認并解決了這個漏洞。客戶目前可通過自動更新修復此問題。”

但奧曼迪公開了他與趨勢官方的來往郵件，隱晦地表達出他對該公司行動緩慢的不滿。

“這意味著網絡上的任何人都能完全靜默地偷走你的所有密碼，還能在無需用戶互動的情況下執行任意代碼。我真心希望你們能清楚問題的嚴重性，因為我自己是深深被這個嚇到了。”

趨勢的殺毒產品有個密碼管理器，用戶可以選擇將密碼導出到這里面。該管理器是用JavaScript寫的，開啟了多個HTTP遠程過程調用端口來處理API請求。奧曼迪在其中輕易地找到了一個可以接受遠程代碼的端口，允許訪問存放在該管理器中的密碼的API也被他找到一個。

奧曼迪總共找到了 70多個暴露在互聯網上的API。他還沒對所有找到的API進行安全問題調查，但他建議趨勢科技聘用外部顧問來審計這些代碼。

殺毒軟件通常以高權限運行于操作系統之上，意味著其中的漏洞若被利用，黑客將幾乎能對計算機為所欲為。卡巴斯基、ESET、Avast、AVG、英特爾安全（前邁克菲）和Malwarebytes，過去7個月里，眾多殺毒軟件廠商的產品中檢出了數十個嚴重漏洞。

本文轉自d1net（轉載）

總結

以上是生活随笔為你收集整理的趋势杀毒曝远程执行漏洞 可盗取用户所有密码的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。