Muchos proveedores de antivirus han tomado el navegador Chromium de código libre para crear derivados que, según ellos afirman, son más seguros y privados. A pesar de eso, recientemente se encontraron fallas serias, que no existen en Chromium, en al menos dos de ellos.

El último ejemplo es el navegador SafeZone de Avast, conocido internamente como Avastium, que es instalado con la versión de paga del antivirus y las suites de seguridad de Avast. El investigador Tavis Ormandy de Google Project Zero encontró una vulnerabilidad que podría permitir a un atacante tomar control de Avastium al abrir una URL controlada por el atacante en cualquier navegador instalado localmente.

Explotando la falla, un atacante podría remotamente leer "archivos, cookies, contraseñas, todo", dijo Ormandy en un reporte que envió a Avast en diciembre y que hizo público el miércoles. "Podría incluso tomar control de sesiones autenticadas y leer correos, interactuar con la banca en línea, etcétera.

Ormandy creó una prueba de concepto de un exploit basado en la web que puede listar el contenido del volumen C:\ del equipo, pero un atacante podría fácilmente obtener cualquier archivo potencialmente interesante.

De acuerdo con el investigador de Google, Avast abre un servicio RPC accesible desde Internet en el equipo local, que escucha en el puerto 27275. Un sitio web malicioso abierto en cualquier navegador podría, por lo tanto, enviar comandos a este servicio forzando al navegador a hacer peticiones a http://localhost:27275/comando.

Aunque muchos de los comandos disponibles no son particularmente peligrosos, hay una llamada a SWITCH_TO_SAFEZONE que puede ser usada para abrir una URL en Avastium. Y no sólo una URL como http:// o https:// sino esquemas de URL internos o locales como file:/// o chrome://.

Esto se debe a que, por alguna razón, Avast removió lo que Ormandy llama una "revisión crítica de seguridad" que previene que esquemas no relacionados con la Web sean abiertos desde línea de comandos. Esta protección, que existe en el Chromium original, no estaba presente en Avastium, haciendo posible que un atacante pudiera construir un payload para leer archivos locales.

Después de que Ormandy reportó la falla el 18 de diciembre, Avast implementó una corrección temporal que rompió la cadena de ataque. La compañía proveyó una corrección completa el miércoles como parte de la versión 2016.11.1.2253 de Avast.