卡巴斯基在線掃描功能核心組件kavwebscan.CKAVWebScan ActiveX控件存在**字符串格式化漏洞**，攻擊者誘騙用戶訪問惡意網頁即可觸發，**無需用戶交互**即可在用戶系統上下文執行任意代碼（遠程代碼執行/RCE）。Secunia評級：**高危**。影響版本：5.0.93.1及之前版本，5.0.98.0已修復。
漏洞技術細節
- 組件：
kavwebscan.CKAVWebScan (ActiveX控件，用戶首次使用在線掃描時自動下載安裝)。
- 根因：字符串格式化函數處理用戶可控輸入不當，導致棧/堆損壞，繼而實現代碼執行。
- 攻擊向量：駭客構造惡意頁面，誘導用戶訪問（郵件/IM/社工/搜索引擎投放） → 瀏覽器加載控件 → 觸發漏洞 → **彈出計算器/植入木馬/竊取數據/橫向移動**。
- 繞過防護：利用殺毒軟體自身組件攻擊，**極具欺騙性**；用戶以為在「掃描」，實則被「入侵」。
廠商回應時間線
- 媒體求證：vnunet.com聯系卡巴斯基，發言人稱「不知情」，承諾稍後發聲明。
- 高級技術顧問David Emm回應：
• 首稱「不知情」「正在遊樂園參加活動」。
• 追問下承認：官網最新版(5.0.98.0)已修復。
• 承認**舊版用戶無法直接升級**，必須**先卸載再安裝新版**。
• 是否通知用戶：「很有可能但不確定」。
用戶自救指南
- 立即檢查版本：卡巴斯基主界面 → 「幫助」 → 「關於」 → 確認版本號。
- ≤5.0.93.1 必須手動升級：
a. 下載官網最新版安裝包（5.0.98.0+）
b. **完全卸載舊版**（控制面板/官方卸載工具）
c. 重啟 → 安裝新版 → 激活授權 → 更新病毒庫
- 臨時緩解（未升級前）：
• IE「Internet選項 → 安全 → 自定義級別」→ 禁用「未標記為安全的ActiveX控件初始化並腳本運行」
• 或使用regsvr32 /u註銷該ActiveX控件（CLSID: {0EB0E740-2A76-4AB3-A7FB-9BD8C29F7F7B} 視具體版本確認）
• 改用獨立掃描工具（如卡巴斯基病毒清除工具/KVRT）替代在線掃描。
行業深度反思
- 安全產品自身成攻擊面：殺毒軟體高權限、廣泛部署、解析複雜格式，**是高價值目標**（參考Tavis Ormandy系列研究）。
- ActiveX歷史包袱：IE專有、高權限、易受內存破壞漏洞影響，現代瀏覽器已棄用（Edge/Chrome/Firefox不支援）。
- 廠商響應透明度：「不知情→遊樂園→承認舊版無法熱升級→不確定通知用戶」暴露**事件響應流程缺失、用戶責任意識淡薄**。
- 「無100%安全產品」非免責理由**：David Emm言論雖實話，但不應成為延遲披露、推遲修復、敷衍用戶的藉口。
修復驗證
升級至5.0.98.0+後，訪問Secunia/Exploit-DB公開的PoC頁面，控件不再崩潰/彈計算器，漏洞修復生效。
**結語**：殺毒軟體漏洞鐵律——**「修補殺毒軟體，比修補系統更急迫」**。企業/用戶應建立「安全產品漏洞管理」專項流程：資產清單→版本基線→漏洞訂閱→應急補丁分發→驗證閉環，不可將安全產品置於「免疫區」。