Aplicativos populares como LibreOffice e VLC podem ser vulneráveis ​​a ataques de ‘um clique’

 

Vulnerabilidades de “um clique” que permitem que os cibercriminosos executem remotamente código arbitrário foram identificadas em aplicativos populares, alertam os pesquisadores Fabian Bräunlein e Lukas Euler, da empresa alemã de segurança da informação Positive Security.

Os pesquisadores encontraram as vulnerabilidades nos aplicativos: Telegram, Nextcloud, VLC, LibreOffice, OpenOffice, carteiras Bitcoin e Dogecoin, Wireshark e Mumble. Então, atenção! Se você usar esses aplicativos, atualize-os imediatamente.

Segundo eles, esses aplicativos passam URLs fornecidos pelo usuário para serem abertos pelo sistema operacional. Esta função normalmente pode significar uma vulnerabilidade de execução de código:

“Aplicativos de desktop que passam URLs fornecidos pelo usuário para serem abertos pelo sistema operacional são frequentemente vulneráveis ​​à execução de código com interação do usuário… A execução do código pode acontecer quando um URL de um executável malicioso (.desktop, .jar, .exe e outros ) está aberto“, escrevem os pesquisadores em relatório publicado nesta quinta-feira (15).

Bräunlein e Euler identificaram que esses aplicativos populares não conseguiam validar os URLs. Ou seja, um cibercriminoso pode criar um link malicioso, que ao ser executado pelo usuário, permite a execução de código arbitrário na máquina da vítima, remotamente.

Como procedimento padrão, os pesquisadores contataram os desenvolvedores, explicando o problema. Mas, embora as vulnerabilidades tenham sido descobertas no início deste ano (e informadas às empresas na mesma data), alguns desenvolvedores ainda não corrigiram os problemas e aplicativos: Bitcoin Desktop Client; Cliente de desktop Bitcoin Gold; LibreOffice; OpenOffice e VLC, permanecem vulneráveis ​​em determinadas situações, pelo menos até hoje (15/04).

“É fácil para qualquer desenvolvedor [aplicativo] transferir a culpa e evitar assumir o fardo de implementar medidas de mitigação … É crucial que cada parte envolvida assuma alguma responsabilidade e acrescente sua contribuição na forma de medidas de mitigação”, escrevem eles.

Segundo eles, os aplicativos Bitcoin não têm interesse em resolver os problemas. O LibreOffice permanece vulnerável para usuários do Xubuntu (distribuição Linux baseada em sistemas Ubuntu), uma vez que os desenvolvedores consideram a responsabilidade do Xubuntu e não deles. E o VLC, tem um patch programado para a próxima semana.

Aplicativos como o LibreOffice (instalado nativamente na maioria dos sistemas baseados em Linux), OpenOffice e VLC são soluções de código aberto amplamente utilizadas por usuários e empresas em todo o mundo. O VLC, por exemplo, tem quase 1 bilhão de downloads, incluindo aqueles da fonte oficial (o site do desenvolvedor) e aqueles baixados através do SourceForge.

 

Fontes: Positive Security; SourceForge; VideoLAN, TheHack.

Você pode gostar também

More Similar Posts

Deixe um comentário

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *

Preencha esse campo
Preencha esse campo
Digite um endereço de e-mail válido.