O Guia Essencial para Transformação de TI
Rato segurança Segurança pesquisador Don Bailey A exibiu um exploit do algoritmo de compressão Lempel-Ziv-Oberhumer (Lz0) rodando no media player Mplayer2 e diz que pode deixar alguns Linuxes vulneráveis a ataques.
O algoritmo de compressão de dados LZO foi criado por Markus Oberhumer em 1994 e foi descoberto por ser vulnerável em junho.
Demonstração do plugin Mplayer2 de Bailey mostra uma vulnerabilidade que pode provocar a execução de código remoto (RCE) por meio de uma bobina de imagem Nyan Cat exibido em uma versão atualizada do FireFox versão 30.
Foi revelado a vulnerabilidade poderia desencadear uma vulnerabilidade de estouro de número inteiro que causou uma negação de serviço ou estouro de buffer, resultando na execução de código remoto em condições específicas.
"Este não é um ataque Firefox", disse Bailey.
"Eu disse [em um blog] eu iria lançar um aplicativo Mplayer2, e apontou para gecko-mediaplayer ser straight-up vulnerável."
"Minha preocupação é que esses apps / plugins são instalados por padrão em algumas distribuições de Linux."
Ele disse que as distribuições Linux foram surpreendentemente lento na aplicação de correções LZO apesar de existente para plataformas de mídia Libav e FFmpeg.
Próprio Firefox é vulnerável a RCE, mas apenas em casos muito restritos usando algumas versões do navegador que limitavam o ataque o suficiente para que Bai; y não me incomodaria de lançar seu LZ4 comprimido marcador menino-na manifestação browser.
NCC Group bod segurança Wade Alcorn ( @ WadeAlcorn ) disse plugins representar risco indesejável.
"Plugins tem uma superfície de ataque considerável e tem sido uma pedra no sapato de segurança do navegador por algum tempo. O modelo de plugin para o navegador é cozido em design de navegador e não vai embora tão cedo", disse Alcorn. ®
Nenhum comentário:
Postar um comentário