Шкідливі субтитри загрожують користувачам VLC Media Player, Kodi, Popcorn Time та Stremio
Xakep #239. Розкрити та вивчити
Фахівці компанії Check Point попередили про велику проблему: близько 200 мільйонів користувачів популярних медіаплеєрів наражаються на серйозний ризик через вразливість у процесі завантаження та парсингу субтитрів. Фактично, атакуючий здатний створити шкідливий файл із субтитрами, завантаження якого в медіаплеєр призведе до виконання довільного коду, і дозволить зловмиснику повністю перехопити контроль над пристроєм.
За словами дослідників, перед цією проблемою вразливі багато популярних рішень. Так, вже були протестовані VLC, Kodi (колишній XBMC), Popcorn-Time та Stremio. Як вже було сказано вище, сумарна кількість користувачів даних платформ дорівнює приблизно 200 мільйонам (170 млн завантажень налічується лише в останньої версії VLC). Причому в небезпеці перебувають як користувачі ПК, так і власники «розумних» телевізорів та мобільних пристроїв.
Фахівці пишуть, що атакуючий може діяти двома різними способами. Перший можливий вектор атак передбачає, що жертву потрібно заманити на шкідливий сайт або обманом змусити запустити шкідливий файл. Другий вектор атак набагато гірший. Справа в тому, що в мережі існує безліч великих репозиторіїв із субтитрами (OpenSubtitles, Addic7ed і так далі), де зловмисник може розмістити свої шкідливі файли. Гірше того, дослідники пишуть, що деяких із таких сервісів можна обдурити, змусивши присвоїти шкідливим субтитрам високий рейтинг.
Так як багато медіаплеєрів працюють з такими ресурсами безпосередньо і довіряють їм, завантаження шкідливого файлу може бути здійснено автоматично, без участі користувача. Оскільки більшість субтитрів – це не більше ніж текстові файли зі специфічною розміткою, антивірусне ПЗпроігнорує таку загрозу.
«Процес виробництва субтитрів складний, у ньому використовується понад 25 різних форматів, кожен з яких має унікальні функції та можливості. Фрагментована екосистема поряд з обмеженою безпекою має на увазі наявність безлічі вразливостей, що робить її надзвичайно привабливою метою для зловмисників, - каже Омрі Хершовичі (Omri Herscovici), керівник команди дослідників уразливостей, Check Point Software Technologies. — Ми виявили, що шкідливі субтитри можуть створюватися та доставлятися на мільйони пристроїв автоматично, минаючи системи безпеки. В результаті хакери отримують повний контроль над зараженими девайсами та даними, які на них утримуються».
На жаль, майже ніяких технічних подробиць поки немає, оскільки фахівці Check Point дотримуються політики «відповідального розголошення» інформації про вразливості, і насамперед вони повідомили розробників вразливих медіаплеєрів. Так як виправити проблему встигли ще не всі, експерти не поспішають описувати технічні деталі та публікувати proof-of-concept експлоїти. Виправлення вже готові для наступних рішень: