Специалисты компании Check Point предупредили о большой проблеме: порядка 200 миллионов пользователей популярных медиаплееров подвергаются серьезному риску из-за уязвимости в процессе загрузки и парсинга субтитров. Фактически, атакующий способен создать вредоносный файл с субтитрами, загрузка которого в медиаплеер приведет к выполнению произвольного кода, и позволит злоумышленнику полностью перехватить контроль над устройством.
По словам исследователей, перед данной проблемой уязвимы многие популярные решения. Так, уже были протестированы VLC, Kodi (бывший XBMC), Popcorn-Time и Stremio. Как уже было сказано выше, суммарное количество пользователей данных платформ равняет примерно 200 миллионам (170 млн загрузок насчитывается у одной только последней версии VLC). Причем в опасности находятся, как пользователи ПК, так и владельцы «умных» телевизоров и мобильных устройств.
Специалисты пишут, что атакующий может действовать двумя разными способами. Первый возможный вектор атак предполагает, что жертву нужно заманить на вредоносный сайт или обманом заставить запустить вредоносный файл. Второй вектор атак гораздо хуже. Дело в том, что в сети существует множество крупных репозиториев с субтитрами (OpenSubtitles, Addic7ed и так далее), где злоумышленник может разместить свои вредоносные файлы. Хуже того, исследователи пишут, что некоторых из таких сервисов можно обмануть, заставив присвоить вредоносным субтитрам высокий рейтинг.
Так как многие медиаплееры работают с такими ресурсами напрямую и доверяют им, загрузка вредоносного файла может быть произведена автоматически, без участия пользователя. Так как большинство субтитров – это не более чем текстовые файлы со специфической разметкой, антивирусное ПО проигнорирует подобную угрозу.
«Процесс производства субтитров сложен, в нем используется более 25 различных форматов, каждый из которых обладает уникальными функциями и возможностями. Фрагментированная экосистема наряду с ограниченной безопасностью подразумевает наличие множества уязвимостей, что делает ее чрезвычайно привлекательной целью для злоумышленников, — говорит Омри Хершовичи (Omri Herscovici), руководитель команды исследователей уязвимостей, Check Point Software Technologies. — Мы обнаружили, что вредоносные субтитры могут создаваться и доставляться на миллионы устройств автоматически, минуя системы безопасности. В результате хакеры получают полный контроль над зараженными девайсами и данными, которые на них содержатся».
К сожалению, почти никаких технических подробностей пока нет, так как специалисты Check Point следуют политике «ответственного разглашения» информации об уязвимостях, и в первую очередь они уведомили разработчиков уязвимых медиаплееров. Так как исправить проблему успели еще не все, эксперты не торопятся описывать технические детали и публиковать proof-of-concept эксплоиты. Исправления уже готовы для следующих решений:
- PopcornTime – исправленная версия готова, но пока недоступна на официальном сайте. Можно скачать вручную здесь;
- Kodi — обновленная версия пока доступна лишь в виде исходных кодов и не распространяется через официальный сайт. Исходники можно найти здесь;
- VLC — новая версия уже опубликована на официальном сайте;
- Stremio – патч готов и распространяется через официальный сайт.
Пока единственный proof-of-concept, опубликованный исследователями, это видеоролик, демонстрирующий атаку в работе. Его можно увидеть ниже.
