Avast es uno de los antivirus gratuitos más utilizados. Avast dispone de versión para Windows, Linux y Mac. En su última versión, el equipo de Bugtraq ha detectado una vulnerabilidad grave en el sistema que afecta a la versión gratuita de Avast que corresponde con la versión 8.0.1489.
Esta vulnerabilidad, ya reportada, permite la inyección de código HTML remoto que podría desembocar en un terminal desde el cual se podría obtener control sobre el equipo y manejarlo a través de comandos. Durante las pruebas, el equipo de Bugtraq consiguió evitar la carga del sandbox de Avast y se consiguió ejecutar aplicaciones con permisos de administrador.
En un principio, lo que parecía un simple fallo de inyección de código HTML terminó desvelando un fallo mucho más grande que permitía con una simple etiqueta «href» conseguir el control del sistema ejecutando un terminal. Desde el terminal se podían ejecutar archivos y tomar el control de diferentes procesos como explorer.exe, lo que permitiría al atacante tener un control sobre el explorador, los archivos del usuario y todos los datos almacenados en el sistema. También se podría navegar a través de páginas web maliciosas y llegar a infectar el equipo.
Con un poco de trabajo se podría llegar a atacar vectores de memoria, lo que podría implicar la infección de cualquier proceso que se encontrara corriendo en la RAM en ese momento.
Avast ya ha tomado nota de la vulnerabilidad y está solucionándola. No tardará en lanzar la actualización correspondiente. Mientras tanto se recomienda utilizar una versión anterior no vulnerable o tener especial cuidado en las webs que se visitan y los programas que se ejecutan para evitar que una tercera persona pueda aprovecharse de este fallo de seguridad. La versión PRO no es vulnerable a dicho bug ya que el módulo de activación, que es el que tiene el fallo, ya se encuentra desactivado.
