Virenscanner-Protokollfunktion führt fremden Code aus

In den Virenscannern von Bitdefender wurde eine Schwachstelle bei der Verarbeitung von Verzeichnis- und Dateinamen entdeckt, durch die möglicherweise Code eingeschleust und ausgeführt werden kann. Es handelt sich bei dem Fehler laut SecuBox Labs um eine so genannte "Format-String"-Schwachstelle im Logging-Modul der Software, durch die über Zeichenketten wie %s oder %f Puffer der Anwendung überschrieben werden könnten.

Betroffen sind dem Advisory zufolge die Bitdefender-Versionen 9.0, 8.0 sowie 7.2 -- möglicherweise auch ältere Versionen. Bis der Hersteller aktualisierte Programmpakete bereitstellt, sollte die Logging-Funktion abgeschaltet sowie darauf geachtet werden, dass die zu scannenden Dateien und Verzeichnisse keine "Format-Strings" im Namen enthalten.

QUELLE

Bitdefender hat Patches bereitgestelt, siehe dedies Quelle. Daher nur zur Ergänzung:

Zitat:

darauf geachtet werden, dass die zu scannenden Dateien und Verzeichnisse keine "Format-Strings" im Namen enthalten.

Es geht also um Dateien, die z.B. %.8X oder sowas im Namen haben.

Eine Format-String-Schutzverletzung ist einem Puffer-Überlauf ähnlich.
Beispiel

Kommentar Uni Ulm zu Format-Strings:

Zitat:

Es demonstriert, wie fatal es sein kann, eine sehr bekannte und verbreitete Bibliotheks-Schnittstelle mit obskuren Möglichkeiten zu erweitern, die kaum jemand benötigt, kaum jemand verwendet und erst recht (bis damals) niemand berücksichtigt.

...und ich wollte gerade Bitdefender Free (Vers. 7.2) als On-Demand-Scanner neben Kaspersky einsetzen..