Sikkerhedseksperter har afsløret tre sårbarheder på et websted som tilhører McAfee – og det kan blive en rigtig pinlig sag for sikkerhedsfirmaet. For McAfee tilbyder selv en service til andre virksomheder, hvor man scanner deres hjemmesider for sårbarheder. Men McAfee har åbenbart ”glemt” at scanne sit eget websted.
Det er den såkaldte YGN Ethical Hacker Group, der har fundet sikkerhedshullerne hos McAfee og rapporteret dem til firmaet den 10. februar. Men hullerne er stadig åbne og derfor har gruppen nu besluttet at gå til offentligheden. En beskrivelse af sårbarhederne findes hos Full Disclosure.
McAfee er blandt andet sårbar overfor det såkaldte cross-site scripting, som kan udnyttes til at viderelede brugerne til en falsk McAfee-side, hvor man f.eks. får downloadet malware i stedet for antivirus.
Der er også adgang til kildetekst og andre interne informationer fra firmaet, men McAfee understreger at kundedata ikke er kompromitteret.
I en kommentar henviser McAfee til, at man arbejder på at lukke sikkerhedshullerne. Desuden mener McAfee ikke, at angribere aktivt har udnyttet sårbarhederne indtil videre.
Men sagen er meget uheldig for firmaet. Kunderne kan få et ”McAfee Secure” kvalitetsstempel til deres hjemmeside, som bekræfter at McAfee har scannet den for ”tusindvis af sårbarheder” og kontrolleret at den lever op til firmaets ”høje standarder for sikkerhed”.
Her vil alle bruge med McAfee-software installeret på computeren så få vist et ”McAfee Secure” logo i browseren når man går ind på den pågældende hjemmeside.
”McAfee Secure” tester for akkurat de samme sikkerhedshuller, som altså nu er blevet afsløret på McAfees egen hjemmeside.
Det er ikke første gang, der er fundet sårbarheder hos McAfee. Tilbage i 2008 blev der afsløret problemer med cross-site scripting hos både McAfee, Symantec og Verisign, og igen i 2009 kunne en hacker påvise en svaghed hos McAfee. Sidste år blev firmaets forum ramt af et defacement.
Som en af de største sikkerhedsleverandører er McAfee naturligvis også et oplagt mål for angreb.
