漏洞起因
设计错误
危险等级
中
影响系统
McAfee SaaS Endpoint Protection 5.2.1
不受影响系统
McAfee SaaS Endpoint Protection 5.2.2
危害
远程攻击者可以利用漏洞以浏览器应用程序上下文执行任意代码。
攻击所需条件
攻击者必须构建恶意WEB页，诱使用户解析。
漏洞信息
McAfee SaaS Endpoint Protection是一款提供了用于拦截病毒、间谍软件、Web 威胁和黑客攻击的基本保护功能。
MyAsUtil5.2.0.603.dll提供的ActiveX控件存在安全漏洞。首先跨站脚本可用于绕过MyASUtil.SecureObjectFactory.CreateSecureObject()中实现的域执行策略来创建一个MyASUtil.InstallInfo实例，之后MyASUtil.InstallInfo.RunUserProgram()可用于在系统上执行代码。另外用户系统上多个其他对象和接口可任意使用这个通用机制。
测试方法
厂商解决方案
用户可参考如下供应商提供的安全公告获得补丁信息：
https://kc.mcafee.com/corporate/index?page=content&id=SB10016
漏洞提供者
Jonathan Andersson
0 条评论。