Media player όπως το Kodi και το VLC είναι ευάλωτα σε malware μέσω υποτίτλων

θα το ξεπερασουμε και αυτο....

μια ερώτηση εγώ αναβάθμισα χτες κοdi 17.3 vlc bs player και km player είμαι οκ απο το συγκεκριμένο πρόβλημα?

Πολυ ωραία και ενδιαφέροντα αυτά αλλά επι του τεχνικού καμμία νύξη...απο ότι διάβασα ανοίγει ουσιαστικά VNC στο μηχάνημα οπότε είσαι υποχείριο του επιτιθεμενου...αλλά δεν λέει πουθενά πως το κάνει.....εκτός και όλοι οι προαναφερθείντες players μοιράζονται (!) το ίδιο engine για subtitle parsing-->rendering με αποτέλεσμα να εκτελούνται εντολές....(?)

Πως ακριβώς γίνεται το attack;

Υπάρχει ορατός κώδικας μέσα στο αρχείο .txt, .srt, κλπ;

Ή μήπως το site με τους υπότιτλους στέλνει payload;

Με plugin;

Πως ακριβώς γίνεται το attack;

Υπάρχει ορατός κώδικας μέσα στο αρχείο .txt, .srt, κλπ;

Ή μήπως το site με τους υπότιτλους στέλνει payload;

Επιτέλους ένα σχόλιο που επικεντρώνεται στην τεχνική ουσία του προβλήματος, αντί να ασχολείται με το... Χόλιγουντ και οτιδήποτε άλλο ξεκάρφωτο.

Την ίδια ακριβώς απορία είχα κι εγώ. Δεν γνωρίζω για VLC, Popcorn και Stremio (και πιθανώς άλλα players), αλλά τουλάχιστον για το Kodi η ευπάθεια αυτή έχει διορθωθεί στο 17.2 (πηγή),ενώ η τρέχουσα stable έκδοση είναι η 17.3.

Περισσότερες τεχνικές λεπτομέρειες εδώ. Απ' ότι φαίνεται πρόκειται για εγγενές πρόβλημα των ανωτέρω media players που προφανώς έχουν αρκετά χαλαρά standards ασφαλείας σε ό,τι αφορά στους υπότιτλους (οι οποίοι μπορεί να έρθουν σε τουλάχιστον 25 διαφορετικά format, οπότε ο media player πρέπει να μπορεί να τα παρσάρει και να τα υποστηρίζει όλα με ό,τι αυτό συνεπάγεται για το μπάχαλο που θα επικρατεί με τα κενά ασφαλείας).

Τώρα το αν η ευπάθεια αυτή αφορά μόνο Windows ή ισχύει και για Linux ή Libreelec/Openelec και σία, δεν έχω ιδέα, δεν το έψαξα περισσότερο. Ομοίως αναρωτιέμαι τι γίνεται αν κλείσει ο player αμέσως μόλις παρατηρηθεί η εισβολή, τι γίνεται αν στα Windows έχουμε απενεργοποιημένο το RDP κλπ.

δυστυχώς κανένας δεν είναι 100% ασφαλής, εκεί έξω γίνεται της πόπης.

Λίγο άσχετο αλλά δείτε ένα βίντεο πως χακάρεις το σκάνερ των ματιών στο samsung galaxy s8 παρακαλώ.

Και όλα αυτά χρησιμοποιώντας φακούς επαφής μια κάμερα και έναν εκτυπωτή 

https://youtu.be/gtQ4yzbsi-c

περισσότερε πληροφορίες εδώ

φιλάκια

ξέρετε αν ισχύει για Mac

Βολικότατο κι αυτό. Δηλαδή λένε κοιτάξτε το streaming μπορεί να σου κάνει κακό. Τρόμαξα. Πάω να λιώσω στο Raspberry.

Πως ακριβώς γίνεται το attack;

Υπάρχει ορατός κώδικας μέσα στο αρχείο .txt, .srt, κλπ;

Ή μήπως το site με τους υπότιτλους στέλνει payload;

Προβληματίστηκα κι εγώ. Το .srt που συνήθως χρησιμοποιούμε είναι ένα text αρχείο όποτε!!

Hackers are hiding malware in subtitle files

static bool OpenSubRipper...

Αχά, με TinyVNC, ενδιαφέρον.

Το προβλημα ισχυει και για τα android tv boxes?

Το προβλημα ισχυει και για τα android tv boxes?

 

Ναι. Οτιδήποτε παίζουν οι players που αναφέρθηκαν πιο πάνω.

Να δω τι άλλη μαλακία θα σκεφτούν να πουν για να σταματήσει ο κόσμος να κατεβάζει πειρατικά

Δεν πρόκειται να σταματήσει. Κυρίως στην Ελλάδα με 490 ευρώ μισθό και 23% ανεργία (για να μην πω 33% μ'αυτά που κρύβουν/μπαλώνουν για να φαίνεται μικρότερη).