Project Zero调用卡巴斯基AV进行SSL拦截实践

谷歌的Project Zero发现，由于卡巴斯基只使用其与反病毒产品打包的SSL代理中MD5散列的前32位，创建SSL证书冲突之前是微不足道的。

“你不需要成为一个密码学家就能理解32位密钥不足以防止在几秒钟内造成碰撞，”ProjectZero的TavisOrmandy在其问题跟踪器中说。

据Ormandy称，卡巴斯基使用Windows过滤平台驱动程序拦截来自客户端的所有传出的安全HTTP连接，并将其插入浏览器和网站之间。

他们有效地代理SSL连接，将自己的证书作为可信机构插入系统存储中，然后立即替换所有叶证书。这就是为什么在使用KasperskyAntiVirus时检查证书的原因，发行者似乎是KasperskyAntiVirusPersonalRoot。

“似乎令人难以置信的是，卡巴斯基没有注意到，他们有时会因为不匹配公共名称而获得证书错误。当他们得到这些错误时，只是因为活跃的攻击者没有修复DNS响应，所以他们没有让远程网站访问其他域名所有者。”

在Ormandy报告了该漏洞并于11月1日收到了Kaspersky的确认后，尽管得知该安全供应商正在进行一些CommonName检查，但该漏洞仍然能够被利用。

“如果你没有受到攻击，你会看到随机的错误。中间的男人可以从你期待的地方给你发包，”奥曼迪在推特上说。

Ormandy还在11月12日发现了另一个漏洞，允许任何非特权用户成为本地证书颁发机构。

卡巴斯基在12月28日修复了这两个bug。

去年5月，ProjectZero安全研究人员发现，Symantec防病毒引擎在解析格式错误的可移植可执行头文件时容易受到缓冲区溢出的影响，这些文件会导致即时的蓝色筛选和内核内存损坏，而不需要用户在Windows上采取行动。

“这几乎是它可能得到的最坏的，”Ormandy在当时说。“这是一个远程代码执行漏洞。由于Symantec使用筛选器驱动程序来拦截所有系统I/O，因此只给受害者发送电子邮件或向他们发送链接就足以利用该漏洞。”