赛门铁克发布严重安全漏洞警告：目标为赛门铁克安全套件

赛门铁克公司向其Endpoint Protection（简称SEP）产品用户发出提醒，要求其更新系统以修复此前发布的三项相关安全漏洞。

其中两项bug——其一为跨站点脚本（简称XSS）漏洞，一项为SQL注入漏洞——皆存在于SEP管理控制台当中，此控制台作为Web入口允许用户通过网络或者本地方式登录至SEP管理服务器。这两项编程失误有可能导致登录至控制台的用户不当获取更高权限。

另一项bug来自SEP的SysPlant.sys驱动程序，可被用于绕过SEP的安全控件——此控件本应用于阻止用户在其工作PC上运行可疑或者不受信代码。在绕过该驱动程序后，恶意代码将能够对目标设备进行攻击。

“成功绕过安全控件有可能在客户系统之上利用登录用户权限有针对性地执行任意代码，”赛门铁克公司指出。“这种类型的恶意行为一般需要诱导当前已验证用户访问恶意链接或者打开恶意梦游，例如通过钓鱼网站或者电子邮件等途径。”

赛门铁克方面建议各位IT管理员将SEP v12.1或者更早版本更新至12.1 RU6 MP4版本。赛门铁克公司还建议各位管理员限制指向SEP控制台的远程访问，同时审查账户以确保仅拥有必要管理权限的使用者能够接入。

这项编号为CVE-2015-8152的XSS漏洞允许登录用户在登录脚本当中嵌入恶意代码。该代码随后会由SEP管理控制台加以执行，进而使得当前已验证用户获得管理员级别的高权限。该漏洞由卡巴斯基实验室的Anatoly Katyushin发现。

而编号为CVE-2015-8153的SQL注入漏洞则允许已登录攻击者劫持该SEP管理控制台并将自身权限提升至管理员级别。其同样由Anatoly Katyushin所发现。

第三项安全漏洞编号为CVE-2015-8154，这项与sysplant.sys Windows驱动程序相关的漏洞由enSilo研究小组发现。

目前还没有任何报道表明这些漏洞曾被实际攻击活动所利用。