"Лаборатория Касперского" устраняет уязвимость антивирусного сканирования архивированных файлов

Ошибка в системах антивирусного сканирования архивов формата ZIP предоставляла вирусописателям возможность дезориентации систем антивирусной защиты.

Компьютерное сообщество встревожено опубликованной недавно информацией об ошибке в системах антивирусного сканирования архивных файлов популярного формата ZIP. Уязвимость была обнаружена компанией iDefence, специализирующейся в области электронной безопасности, и затрагивает антивирусные продукты ведущих разработчиков, включая McAfee, Computer Associates, Kaspersky, Sophos, Eset и RAV.

Эксперты "Лаборатории Касперского" подтверждают верность представленной iDefence информации. Действительно, вирусописатели могут воспользоваться особенностью применяемого в формате ZIP метода архивации. Дело в том, что информация о реальном размере находящихся в ZIP-архиве файлов хранится в двух заголовках (local и global header). Если злоумышленник в обоих заголовках укажет значение размера какого-либо файла равным нулю, то антивирусные сканеры указанных выше разработчиков ошибочно посчитают такой обьект слишком маленьким для проверки и пропустят его. В то же время, утилиты архивации не используют указанный в заголовках размер файла и успешно распаковывают модифицированные подобным образом ZIP-архивы.

"Обнаруженная iDefence уязвимость методики антивирусного сканирования архивов ZIP-формата предоставляла потенциальную возможность дезориентации систем антивирусной защиты за счет изменения данных, содержащихся в заголовке архива. Антивирусные эксперты "Лаборатории Касперского" оперативно устранили найденную ошибку, вызванную несоответствием механизмов работы архиватора ZIP и антивирусного сканера", - сказал Евгений Касперский, руководитель антивирусных исследований "Лаборатории Касперского".

"Теперь при анализе архивированного объекта антивирусный сканер полностью повторяет действия архиватора, сначала распаковывая файл, и только затем подвергая его анализу. Это обеспечивает полную защиту пользователей Антивируса Касперского от попыток использования данной уязвимости. Мы благодарны компании iDefence за своевременное обнаружение данной проблемы и рады, что фактов ее использования в деструктивных целях не было зафиксировано", - подчеркнул Евгений.

22.10.2004