Pandas Online-Virenscanner installiert ActiveX-Module, die böswillige Individuen aus präparierten Webseiten heraus aufrufen können. Der Sicherheitsdienstleister Secunia meldet Schwachstellen in den ActiveX-Modulen, die Angreifern ermöglichen, beliebige Schadsoftware auf betroffene Systeme einzuschleusen.
Das ActiveX-Control ActiveScan.1 des Panda-Scanners zeichnet gleich für zwei Schwachstellen verantwortlich. Ein Aufruf der Funktion Reinicializar() führt zum Rechnerneustart, ohne dass der Benutzer eingreifen könnte. Die Funktion Analizar() ist nicht Thread-sicher – einige Variablen und Zeiger liegen in gemeinsam genutzten Speicherbereichen. Durch das mehrfache Aufrufen der Funktion entsteht in der Folge eine so genannte Race-Condition, bei der durch Speicherverwürfelungen eingeschleuster Code zur Ausführung kommen kann.
Weniger kritisch ist eine Lücke in der Funktion ObtenerTamano() der ActiveX-Komponente PAVPZ.SOS.1. Diese liefert die Größe einer angegebenen lokalen Datei zurück, woraus Angreifer etwa das Vorhandensein bestimmter Dateiversionen erschließen könnten. Panda hat inzwischen aktualisierte ActiveX-Module bereitgestellt, die betroffene Anwender durch den Besuch der Seite und dem Anstoßen eines Scans mit dem Online-Scanner baldmöglichst einspielen sollten.
Siehe dazu auch:
* Panda ActiveScan Multiple Vulnerabilities, Sicherheitsmeldung von Secunia
* Homepage von Panda ActiveScan, mit aktualisierten ActiveX-Modulen
Quelle und Links :
http://www.heise.de/security/news/meldung/81125
