Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Falla in una popolare libreria video usata anche da VLC

Ott 23, 2018 Marco Schiaffino News, RSS, Vulnerabilità 0

Il bug interessa LIVE555 Streaming Media, una collezione di librerie C++ per lo streaming. Un eventuale attacco porta all’esecuzione di codice in remoto.

Chiariamolo subito: il bug individuato dai ricercatori di Cisco Talos non permette a un pirata informatico di colpire un computer attraverso uno streaming video. Nonostante ciò, la vulnerabilità è di quelle che non possono essere sottovalutate.

Come viene spiegato nel report, la falla di sicurezza (CVE-2018-4013) riguarda la funzione di tunneling HTTP integrata in LIVE555 Streaming Media. Si tratta di un pacchetto software che consente l’implementazione dei protocolli standard aperti RTP/RTCP, RTSP e SIP.

Un pirata informatico potrebbe sfruttare il bug per inviare un pacchetto confezionato ad hoc e provocare un buffer overflow, aprendo la strada all’esecuzione di codice in remoto.

Il problema è che LIVE555 è usata da tantissimi progetti. Tra i programmi che integrano le librerie di LIVE555 ci sono VLC, MPlayer, Morgan RTP DirectShowTM Filters, Omnimeeting (un’applicazione per videoconferenze – ndr), Network-Integrated Multimedia Middleware (NMM), LiveMediaStreamer, MediaPortal e Valkka.

Per fortuna il bug può essere sfruttato solo quando il bersaglio sta operando in modalità server e, di conseguenza, i normali player multimediali (come VLC e MPlayer) non rischiano nulla.

Le cose cambiano quando si parla dei software per le videoconferenze o (e ce ne sono parecchi) i programmi usati per gestire telecamere di sorveglianza.

E proprio questo è il caso che rischia di essere più “spinoso”. Dalle parti di LIVE555 assicurano di aver distribuito l’aggiornamento che risolve il problema, ma l’esperienza ci insegna che i produttori di dispositivi IoT non sono particolarmente solerti nella gestione degli aggiornamenti.

Il rischio, infatti, è che la vulnerabilità vada ad arricchire il già nutrito arsenale di exploit utilizzati dai cyber-criminali per reclutare le loro botnet IoT.

Condividi l'articolo

Live555, Marco Schiaffino, Talos, VLC

Phishing in crescita. Microsoft. PayPal e Netflix tra i principali obiettivi Zero-Day in jQuery File Upload e i pirati lo stanno usando da almeno 3 anni