Tien jaar oude kwetsbaarheden in virusscanners Avast en AVG ontdekt

SentinelLabs, het threat research-team van SentinelOne, heeft naar eigen zeggen twee ernstige fouten ontdekt in Avast en AVG. De kwetsbaarheden in de antivirusprogramma's bleven tien jaar lang onontdekt en kunnen potentieel tientallen miljoenen gebruikers treffen. Tot nu toe heeft SentinelLabs geen bewijs gevonden van misbruik.

De kwetsbaarheden in Avast en AVG (dat in 2016 door Avast werd overgenomen) stellen aanvallers in staat om bevoegdheden aan te passen, zodat ze beveiligingsproducten kunnen uitschakelen, het besturingssysteem kunnen beschadigen of ongehinderd kwaadaardige operaties kunnen uitvoeren.

Miljoenen gebruikers getroffen

Volgens Avast is het veiligheidsrisico binnengeslopen in Avast 12.1, de versie van de software die in januari 2012 werd uitgebracht. Gezien de lange levensduur van deze fout, ruim tien jaar, schat SentinelOne dat tientallen miljoenen gebruikers er mogelijk door zijn getroffen.

De bevindingen van SentinelLabs werden al in december 2021 proactief gerapporteerd aan Avast, waarna de kwetsbaarheden gemarkeerd werden als CVE-2022-26522 en CVE-2022-26523 (CVSS-score: high severity). Intussen heeft Avast in stilte beveiligingsupdates uitgebracht om deze kwetsbaarheden te verhelpen. De meeste Avast- en AVG-gebruikers ontvangen de patch (versie 22.1) automatisch. Wie air gapped of on-premises installaties gebruikt, krijgt het advies om de patch zo snel mogelijk handmatig toe te passen.