Berta Sándor

Fel lehet törni a gépet a videókhoz letöltött feliratokkal

A probléma számos népszerű médialejátszó szoftvert érint, a manipulált feliratokkal átvehető az irányítás a számítógép felett.

A Check Point biztonsági cég kutatói egy új támadási felületre mutattak rá. Mint kiderült, bűnözők feltörhetik a videókhoz készített feliratokat, ezáltal a VLC, a Kodi, a Stream.io vagy a Popcorn nagyon egyszerűen manipulálhatóvá válik. Az elkövetők teljes mértékben átvehetik az ellenőrzést a megtámadott rendszerek felett. A bűnözők létrehozhatnak manipulált feliratokat, majd a VLC, a Kodi, a Stream.io vagy a Popcorn Time sebezhetőségeit kihasználva támadhatják az érintett eszközöket. A Check Point adatai alapján a probléma több százmillió felhasználót érinthet.


A biztonsági cég szakemberei már tájékoztatták a sebezhetőségekről az érintett gyártókat és szervezeteket. A legnagyobb gondot az jelenti, hogy feliratokat fengete felhasználó készít, majd feltölti azokat az olyan közös online adatbázisokba, mint az OpenSubtitles.org. A tárhelyek rangsoroló algoritmusainak manipulálásával elérhető, hogy a médialejátszó automatikusan letöltse a rosszindulatú feliratokat, és így a felhasználóval való interakció nélkül tudja a hacker átvenni az irányítást. A Check Point sebezhetőségkutató csoportja kiemelte, hogy több mint 25 feliratformátum van, amelyek mindegyike egyedi tulajdonságokkal és funkciókkal rendelkezik. Ez a töredezett, egyeduralkodó szabvány nélküli ökorendszer az alacsony biztonsággal együtt azt eredményezi, hogy sok a kihasználható hiányosság.

A manipulált feliratok megkerülhetik a biztonsági szoftvereket és több millió készülék kifizetődő célponttá válhat. A sérülékenységek nyilvánosságra hozatala óta mind a négy vállalat megoldotta a kérdéses problémákat. A Stemio és a VLC a problémát kezelő új software verziókat adott ki. A felhasználók mindenekelőtt úgy növelhetik a védettséget, ha a legújabb verzióra frissítik az általuk használt médialejátszó programokat. A VLC legutóbbi verzióját 170 milliónál több alkalommal töltötték le. A Kodi (XBMC) napi szinten 10 millió feletti egyedi felhasználót ér el, és közel 40 milliót havonta. A Popcorn Time használóinak számára vonatkozóan nincsenek aktuális becslések, de több tízmillió lehet. A Check Pointnak jó oka van feltételezni, hogy más médialejátszókon is léteznek hasonló sérülékenységek.

Hozzászólások

A témához csak regisztrált és bejelentkezett látogatók szólhatnak hozzá!
Bejelentkezéshez klikk ide
(Regisztráció a fórum nyitóoldalán)
  • cylontoaster #15
    Ráadásul a winampot XP-n használja, mert az tök jó, minek váltson, egyébként is a 10 hulladék.

    Vagy van neki 10, de a frissítési kreténségek miatt inkább kilőtte az auto frissítést. Amúgy sincs látható különbség egy frissítés után, minden olyan mint volt, úgyhogy tök feleslegesen szivatja magát velük az ember, pont jó lesz az a verzió is ami telepítéskor felkerült.
  • zola2000 #14
    Ez esetben a rendszerrel volt gond, mert automatán letöltötte a feliratot az opensubtitlesről.

    De amikor valaki azt írja hogy "10 éves winampot használok mert jó az" hát igen... A warez oldalakra mp3makat feltöltők is gondolnak rájuk.
  • Andrevv #13
    Na ez az, legtöbbször nem a rendszerrel van baj, hanem a felhasználójával.
  • zola2000 #12
    Az a baj, ha valami nem exe, akkor a legtöbb felhasználó simán megnyit bátran mindent.
  • zola2000 #11
    Azért nem csak szöveges felirat van, ass felirat pl egész komoly effekteket is tud csinálni.

    Mióta egy elvileg zárt rendszerű konzolt a 3DSt szintén egy szöveg fáljal lehet feltörni a böngésző vonalkód olvasóján át, vagy egy 4 kilobyteos fájlal a zene lejátszón át, ezért ma én már mindenre gyanakszom.
  • ostoros #10

    Nem a zsemle kicsi hanem a pofátok nagy...
  • Andrevv #9
    A hozzászólások is kell tükrözzék az sg süllyedő színvonalát, ne viccelj :)
  • Andrevv #8
    Már nagyon rég láttam ilyen lekezeletlen túlcsordulós dolgot, talán DOS alatt amikor asm-ben nyomtam. Pedig milyen vagány volt amikor direkt videó-memóriába lehetett írni, nem kellett se directx se semmi, mégis villámgyors volt a grafika, ha jól ment a matek :)
    A mai világban a memória eléggé zárt. Foglalsz magadnak amennyi kell és kész, azon kívül semmit sem tudsz elérni. Ha megpróbálod, akkor kapsz egy "access violation"-t vagy hasonlót.
  • Yagami #7
    Viccelsz, az sg-n? A világ legnagyobb zsenijei vannak itt, mindent mindenkinél jobban tudnak. Tudomány, film, IT egy kutya. Az ágazatok legnagyobb mestereitől tanulhatsz itt (én csak szakadni szoktam rajtuk, olyan aranyosan buták). Tisztelet a kivételnek, amiből van vagy 2 :D
  • Schwarz #6
    Elég a demó videót megnézni, mind windózos lejátszó, nyilván nem konkrétan az srt-vel törnek, hanem valamilyen windózos tutyiságot használnak ki.