Fel lehet törni a gépet a videókhoz letöltött feliratokkal

A probléma számos népszerű médialejátszó szoftvert érint, a manipulált feliratokkal átvehető az irányítás a számítógép felett.

A Check Point biztonsági cég kutatói egy új támadási felületre mutattak rá. Mint kiderült, bűnözők feltörhetik a videókhoz készített feliratokat, ezáltal a VLC, a Kodi, a Stream.io vagy a Popcorn nagyon egyszerűen manipulálhatóvá válik. Az elkövetők teljes mértékben átvehetik az ellenőrzést a megtámadott rendszerek felett. A bűnözők létrehozhatnak manipulált feliratokat, majd a VLC, a Kodi, a Stream.io vagy a Popcorn Time sebezhetőségeit kihasználva támadhatják az érintett eszközöket. A Check Point adatai alapján a probléma több százmillió felhasználót érinthet.


A biztonsági cég szakemberei már tájékoztatták a sebezhetőségekről az érintett gyártókat és szervezeteket. A legnagyobb gondot az jelenti, hogy feliratokat fengete felhasználó készít, majd feltölti azokat az olyan közös online adatbázisokba, mint az OpenSubtitles.org. A tárhelyek rangsoroló algoritmusainak manipulálásával elérhető, hogy a médialejátszó automatikusan letöltse a rosszindulatú feliratokat, és így a felhasználóval való interakció nélkül tudja a hacker átvenni az irányítást. A Check Point sebezhetőségkutató csoportja kiemelte, hogy több mint 25 feliratformátum van, amelyek mindegyike egyedi tulajdonságokkal és funkciókkal rendelkezik. Ez a töredezett, egyeduralkodó szabvány nélküli ökorendszer az alacsony biztonsággal együtt azt eredményezi, hogy sok a kihasználható hiányosság.

A manipulált feliratok megkerülhetik a biztonsági szoftvereket és több millió készülék kifizetődő célponttá válhat. A sérülékenységek nyilvánosságra hozatala óta mind a négy vállalat megoldotta a kérdéses problémákat. A Stemio és a VLC a problémát kezelő új software verziókat adott ki. A felhasználók mindenekelőtt úgy növelhetik a védettséget, ha a legújabb verzióra frissítik az általuk használt médialejátszó programokat. A VLC legutóbbi verzióját 170 milliónál több alkalommal töltötték le. A Kodi (XBMC) napi szinten 10 millió feletti egyedi felhasználót ér el, és közel 40 milliót havonta. A Popcorn Time használóinak számára vonatkozóan nincsenek aktuális becslések, de több tízmillió lehet. A Check Pointnak jó oka van feltételezni, hogy más médialejátszókon is léteznek hasonló sérülékenységek.