Un desastre llamado Sophos…

Eso es al menos lo que se entiende después de leer la información que publican algunos medios especializados hoy, la cual deja en muy mal lugar al antivirus Sophos, del que se dice que empeora la seguridad del sistema operativo.

Lo explican con bastantes detalles en Hispasec o en The H Security (en inglés), y la verdad es que pocas veces una solución antivirus ha recibido peores críticas: no solo las implementaciones de Sophos son precarias, sino que abren nuevas vulnerabilidades por sí solas.

El experto en seguridad Tavis Ormandy, que ya en 2011 puso en entredicho las virtudes de Sophos, vuelve ahora a la carga con un nuevo estudio del software en el que se destaca, por ejemplo:

• Ejecución de código al mandar analizar un binario especialmente manipulado en formato RAR, PDF, un ejecutable en Visual Basic y CAB.
• Elevación de privilegios gracias a un problema de permisos en Sophos.
• CrossSite Scripting a la hora de mostrar código HTML podría permitir el robo de cookies del usuario. Esto ocurre en la página de bloqueo de contenido supuestamente malicioso que muestra el antivirus en el navegador.
• La protección Buffer Overflow Protection System (BOPS) de Sophos, lejos de proteger, carga en cada proceso del sistema una DLL sin ASRL activo, por lo que a efectos prácticos, inutiliza el ASRL del sistema.
• El servicio Layered Service Provider (LSP, que bloquea contenido de Internet Explorer) carga módulos desde un directorio de integridad baja y escribible, lo que en la práctica inutiliza el modo protegido de Internet Explorer.

Visto lo visto, dan ganas de olvidarse de Sophos cuanto antes mejor, pero la compañía ha reaccionado ante las deficiencias descubiertas por Tavis Ormandy y a 5 de noviembre de 2012, prácticamente todas estaban resueltas y las que quedan tienen actualización programada.

Para conocer bien todos los detalles, recomendamos leer con atención los enlaces anteriores, donde se explican los pormenores técnicos. Sea como fuere, peor publicidad no puede tener un software de seguridad.