Check Point Software zveřejnil informace o nové útočné metodě, která ohrožuje stovky milionů uživatelů populárních přehrávačů médií, včetně VLC, Kodi (XBMC), Popcorn Time a Stremio. Vytvořením škodlivých titulků, které si diváci stáhnou, mohou útočníci získat plnou kontrolu nad jakýmkoli zařízením, na kterém jsou spuštěny zranitelné platformy.
„Dodavatelský řetězec titulků je velmi složitý. Používá se více než 25 různých formátů titulků, všechny s jedinečnými funkcemi a vlastnostmi. Tento roztříštěný ekosystém spolu s omezenou bezpečností znamená, že existuje mnoho zranitelností, které lze zneužít, což je pro útočníky velmi atraktivní,“ říká Omri Herscovici, vedoucí týmu výzkumu zranitelností ve společnosti Check Point. „Zjistili jsme, že lze vytvářet a automaticky doručit škodlivé titulky na miliony zařízení, což obejde bezpečnostní software a útočníkovi dá plnou kontrolu nad infikovaným zařízením a daty.“
Výzkumný tým Check Pointu odhalil zranitelnosti ve čtyřech populárních přehrávačích médií: VLC, Kodi, Popcorn Time a Stremio. Hackeři byli schopni zneužitím zranitelností v postižených platformách převzít kontrolu nad zařízením pomocí škodlivých souborů.
Titulky pro filmy nebo televizní pořady vytváří velké množství nejrůznějších autorů a titulky jsou nahrávány do sdílených online archivů, jako je třeba OpenSubtitles.org, kde jsou titulky seřazeny a hodnoceny. Výzkumníci společnosti Check Point rovněž upozorňují, že lze manipulovat s algoritmem pro hodnocení titulků, aby přehrávače médií automaticky stáhly právě škodlivé titulky. Hackeři tak získávají plnou kontrolu nad celým dodavatelským řetězcem titulků, aniž by uživatel cokoli udělal.
Jakmile byly zveřejněny informace o zranitelnostech, všechny 4 společnosti opravily hlášené problémy. Stremio a VLC vydaly také nové softwarové verze, které opravy obsahují. „Pro ochranu a minimalizování rizika spojeného s případným útokem by měli všichni uživatelé zkontrolovat, jestli používají nejnovější verze streamovacích přehrávačů,“ dodává Herscovici.
Zdroj: Check Point
