Roma, 25 mag. (askanews) – Diverse vulnerabilità in applicativi media player di ampia diffusione che possono essere sfruttate da un attaccante remoto per eseguire codice arbitrario sul sistema sottostante e prendere il controllo completo del dispositivo della vittima sono state scoperte dai ricercatori di Check Point.
Le vulnerabilità , riporta il sito del Cert Nazionale, risiedono nelle funzionalità di gestione dei sottotitoli per i filmati e possono essere sfruttate inducendo l’utente a scaricare ed utilizzare un file di sottotitoli appositamente predisposto con uno dei player affetti. I file malevoli possono essere caricati dagli attaccanti su siti Web malevoli o in repository di sottotitoli legittimi (come ad esempio OpenSubtitles.org).
In quest’ultimo caso, si legge, i criminali potrebbero riuscire a manipolare l’indicizzazione e la classifica dei sottotitoli per fare in modo che i player scarichino automaticamente quelli malevoli, ampliando così di molto il numero di potenziali compromissioni.
Check Point ha verificato l’esistenza di queste vulnerabilità nelle seguenti applicazioni: PopcornTime (non accessibile dall’Italia), Kodi (ex XBMC), VideoLAN VLC, Stremio. Nel post originale di Check Point è disponibile un video dimostrativo dell’attacco sulla piattaforma PopcornTime. Per il solo VLC sono state identificate ben quattro diverse vulnerabilità . Non sono disponibili dettagli delle vulnerabilità scoperte nelle altre applicazioni.
Sulla base dei dati forniti dagli sviluppatori, Check Point ha stimato che il numero totale degli utenti potenzialmente esposti a questa minaccia sia dell’ordine delle centinaia di milioni. La sola versione 2.2.4 di VLC per i sistemi Windows ha superato i 170 milioni di download.
Per risolvere queste vulnerabilità , conclude l’analisi, è necessario aggiornare il proprio player alla versione più recente disponibile. Al momento sono disponibili aggiornamenti ufficiali per le seguenti applicazioni: VLC (versione 2.2.5.1), Stremio (versione 3.6.5) e Kodi (versione 17.2).
(Fonte: Cyber Affairs)