趋势科技OfficeScan Web管理绕过认证漏洞

BUGTRAQ ID: 30792
CVE(CAN) ID: CVE-2008-2433

OfficeScan是一种针对整个网段的分布式杀毒软件。

OfficeScan的web管理控制台使用了不充分的熵用于创建识别已认证管理员的随机会话令牌。当真正的管理员登录时，会话令牌的熵仅来自于系统时间，细粒度为1秒。攻击者可以相对容易的暴力猜测到认证令牌，扮演成当前登录的管理员，然后通过操控配置完全控制系统。

Trend Micro OfficeScan 8.0
Trend Micro OfficeScan 7.3
Trend Micro OfficeScan 7.0
Trend Micro Worry-Free Business Security 5.0
Trend Micro

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

<a href=“http://www.trendmicro.com/ftp/products/patches/OSCE_8.0_Win_EN_CriticalPatch_B1351.exe” target=“_blank”>http://www.trendmicro.com/ftp/products/patches/OSCE_8.0_Win_EN_CriticalPatch_B1351.exe</a>
<a href=“http://www.trendmicro.com/ftp/products/patches/WFBS_50_WIN_EN_CriticalPatch_B1404.exe” target=“_blank”>http://www.trendmicro.com/ftp/products/patches/WFBS_50_WIN_EN_CriticalPatch_B1404.exe</a>