Avast fixt twee ernstige lekken in zijn virusscanner

Avast heeft de afgelopen dagen twee ernstige lekken in zijn anti-virus software verholpen. Eén lek, gemeld door beveiligingsonderzoeker David Eade, zat in de anti-tracking functionaliteit van Avast. De andere kwetsbaarheid werd door Google onderzoekers Tavis Ormandy en Natalie Silvanovich gerapporteerd en zat in het onderdeel dat verdachte JavaScript-bestanden controleert op schadelijke inhoud.

1. Door lek in anti-tracking kon je naar valse websites gestuurd worden

Het eerste lek was in augustus vorig jaar al gemeld aan Avast door Eade, maar is nu pas opgelost. In de anti-tracking functie van Avast was de manier waarop https-verkeer van websites werd gecontroleerd niet correct, waardoor in principe Avast-gebruikers naar valse, schadelijke websites gestuurd konden worden door een aanvaller. Dit was mogelijk via een man-in-the-middle-aanval, waarbij een gebruiker denkt naar een legitieme website te gaan, maar door deze aanval een valse website krijgt voorgeschoteld.

Dit is een zeer ernstige fout die mogelijk werd gemaakt door drie fouten in Avast met betrekking tot de controle van de geldigheid van certificaten, het downgraden naar een verouderd TLS-protocol (voor versleuteling webverkeer) en verouderde cypher suites waardoor forward secrecy niet ondersteund werd en versleuteld webverkeer ontsleuteld kon worden.

2. Via onderdeel dat verdachte JavaScript checkt kon malware uitgevoerd worden

Het tweede lek is door Google-onderzoekers Tormandy en Silvanovich deze week bekendgemaakt. In het onderdeel van Avast dat JavaScript controleert op mogelijke kwaadaardige bedoelingen zat een kwetsbaarheid waardoor aanvallers op afstand juist schadelijke code (malware) zouden kunnen uitvoeren op een pc met Avast geïnstalleerd.

Avast heeft in reactie op deze melding nu de hele controle-functie van JavaScript in Avast uitgeschakeld om dit soort aanvallen tegen te gaan. Volgens Avast is dat verder niet erg omdat de anti-virus software meerdere beveiligingslagen heeft.

Tot slot

Het is natuurlijk niet de bedoeling dat een virusscanner, die je pc moet beveiligen, zelf lekken heeft en je computer kwetsbaar maakt. Avast zou met het verhelpen van deze twee lekken echter weer veilig moeten zijn om te gebruiken. Als gebruiker hoef je hier verder niks voor te doen, de updates en wijzigingen worden automatisch doorgevoerd.

Vorig jaar waren er diverse privacy-schandalen rond Avast. Onze vraag is:

Gebruik jij Avast nog? Laat het weten in de reacties!