The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Атака на Kodi, VLC и Popcorn-Time через вредоносные субтитры

24.05.2017 12:30

В популярных открытых мультимедийных проигрывателях и медиацентрах, включая VLC, Kodi (XBMC), Popcorn-Time и strem.io, выявлена уязвимость, позволяющая получить контроль за окружением пользователя при обработке специально оформленных субтитров. Проблема устранена в Kodi 17.2, Popcorn-Time 0.3.10, strem.io 3.6.5 и VLC 2.2.5.1 (частично, полное исправление ожидается в версии 2.2.6). До установки обновления с устранением проблемы пользователям рекомендуется воздержаться от загрузки непроверенных субтитров из публичных сервисов, таких как OpenSubtitles.org.

Технические детали о методе атаки не публикуются, чтобы дать пользователям время на обновление, но судя по принятому в Kodi 17.2 патчу, проблема вызвана отсутствием экранирования символов ".." в файловых путях zip-архива с субтитрами. Атакующий может подготовить специально оформленный zip-архив, при распаковке которого может быть переписан любой файл в системе в рамках прав доступа текущего процесса с медиаплеером. Кроме того, в Popcorn-Time, судя по всему, устранена другая уязвимость, связанная с возможностью подстановки JavaScript-кода (межсайтовый скриптинг) в состав субтитров в формате SRT, который будет обработан в контексте JavaScript-движка, применяемого для построения интерфейса приложения. В VLC уязвимости вызваны переполнениями буфера в обработчике субтитров.



  1. Главная ссылка к новости (http://blog.checkpoint.com/201...)
  2. OpenNews: Popcorn Time, система для потокового просмотра видео через BitTorrent
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/46590-vlc
Ключевые слова: vlc, kodi
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (44) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.2, Аноним (-), 13:25, 24/05/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +22 +/
    > устранена другая уязвимость, связанная с возможностью подстановки JavaScript-кода в состав субтитров в формате SRT

    Куда катится этот мир?

     
     
  • 2.21, Аноним (-), 17:31, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Мир делает вид, что пытается из неё выбраться, но скатывается, естественно, обратно :).
     

  • 1.3, Аноним (-), 13:44, 24/05/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +17 +/
    > strem.io

    Хоть кто-то дал своему JS-проекту правдивое название.

     
     
  • 2.5, Аноним (-), 13:49, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • –4 +/
    Ура, местные эксперты подъехали
     
     
  • 3.9, Аноним (-), 14:28, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • +7 +/
    Да и веб-макаки подоспели, я смотрю.
     
     
  • 4.16, Аноним (-), 14:59, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Ты продолжай, мнение человека, который думает что js есть только в вебе очень значимо)
     
     
  • 5.17, Iaaa (ok), 15:17, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • +15 +/
    Если гoвно не только течет по предназначенным для этого трубам, но еще и затапливает весь город - это совсем не значит, что гoвно перестало быть гoвном.
     
     
  • 6.23, fsdgsdfsagsdfasdf (?), 17:40, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • –3 +/
    хеллоуворлдщики превращают ресурс в пикабу
     
  • 6.24, Аноним (-), 18:08, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Продолжай распространять своё ни на чем не основанное мнение) А мы, адекватные люди, продожим пользоваться этим одним из лучших на сегодняшний день ЯП.
    Вот видишь? Js делает людей счастливыми, и все довольны)
     
     
  • 7.25, Аноним (-), 19:38, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • +6 +/
    > Вот видишь? Js делает людей счастливыми, и все довольны)

    (.. медленно затянулся.. и передал следующему)

     
  • 7.30, Отражение луны (ok), 21:45, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Забей, местные дилетанты свято ненавидят все, что не могут осилить.
     
  • 6.48, Джон Ленин (?), 11:05, 14/07/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Давай я резюмирую твою мысль:

    Весь JIT и GC — ЖАБА.
    Си — выстрелвноговый, Rust — закорючки. Место Баша рядом с Фортраном — в музее.
    Плюсовые функции не могут возвращать массив? — Язык-инвалид.
    "Все языки программирования априори ненормальны."

     
  • 3.27, Led (ok), 21:32, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • +1 +/
    У вэб-макаки полыхнуло?
     
     
  • 4.31, Отражение луны (ok), 21:47, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Судя по здешнему диалогу горит в основном у вас. Вполне очевидно, что не будь вы такими нытиками - он бы даже и не состоялся)
     
     
  • 5.32, НяшМяш (ok), 23:35, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • +8 +/
    > горит в основном у вас

    Ну вообще-то, вы правы. У юзеров, которым надо работать, уже горит от всяких клиентов мессенджеров, написаных на опупительном жеесе, всяких веб приложениях, которые грузятся дольше и жрут больше операционки. Почему-то на тот же навороченый КДЕ, который блестит, свистит, светится, но помимо этого умеет и кучу полезного, который жрёт 500 метров оперативки - сразу катят бочку "обожимой он зохавал 3% моей оперативки и 5% моего процессора". А как какой-нибудь сайтик на очередном уберангуляре с тормозящей даже на суперкомпьютере анимацией и жрущий в одну вкладку 300 метров - так сразу "смотрите какой офигенный фреймворк и что на нём можно запилить, айда все свои сайты так же делать". Так что я бы советовал вебмакакам - утихните и радуйтесь, что настоящие тру кодеры ещё пытаются делать оптимизацию для вашего уныния в своих браузерных движках. А то ведь терпение не резиновое и они могут вам сказать самые страшные слова в вашей жизни - "научись программировать, обезьяна".

     
     
  • 6.34, Отражение луны (ok), 04:37, 25/05/2017 [^] [^^] [^^^] [ответить]  
  • –1 +/
    У сайтов проблемы не от js-а, а от обвязки html+css.
    Если сравнить с qml+js 0 вы удивитесь разнице. Да, кривая поделка КДЕ тормозит жутко, но это лишь проблема КДЕ. Если посмотреть на другие аппы с применением qml+js - работают они крайне быстро. Нода используется для хайлоада. В гноме куча js-а, при этом он шустрее любой другой оболочки.
    Продолжая мысль - у js хейтеров проблемы от недостатка знаний.
     
  • 6.35, Отражение луны (ok), 04:41, 25/05/2017 [^] [^^] [^^^] [ответить]  
  • –1 +/
    И да, js будет посерьёзнее в плане возможностей и полноценного освоения почти любого другого современного ЯП. А уж если учесть их повальную синхронность - так это вообще отсталое уныние.
    Учите матчасть, не позорьте своё имя) Удачи)
     

  • 1.4, Аноним (-), 13:49, 24/05/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    >>проблема вызвана отсутствием экранирования символов ".." в файловых путях zip-архива с субтитрами

    Проблема стара как мир и известна всем, но её регулярно находят то тут, то там. :(

     
     
  • 2.6, Аноним (-), 13:54, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Вопрос, дыра-ли это?
     
  • 2.7, Аноним (-), 13:55, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Люди - странные создания. Сколько не заставляй их лазить в квартиру через форточку в окне на третьем этаже, они всё норовят воспользоваться лифтом и дверью.

    Такая архитектура у нашего дома, что через дверь небезопасно, а безопасно через форточку на третьем этаже. И нет, перестраивать дом из-за чьего-то нежелания лазить в форточку мы не будем!

     

  • 1.8, iZEN (ok), 14:03, 24/05/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Ошибка в libass что ли? Она не только в VLC, но и в ffmpeg используется, который... используется в Firefox. Да тут вся система под угрозой!
     
     
  • 2.12, Аноним (-), 14:52, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • +/
    Ванга в треде? Судя по патчу, libass тут никаким боком.
     
     
  • 3.28, Led (ok), 21:35, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • +/
    Да какая там "ванга"... Простоу этого пациента все мысли про ass.
     

  • 1.10, ОМДЗТ (?), 14:39, 24/05/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Слава mpv. Остальные должны страдать
     
  • 1.11, Аноним (-), 14:50, 24/05/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    А, собственно, ЗАЧЕМ поддержка жабоскрипта в сабах?
     
     
  • 2.14, Аноним (-), 14:54, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • +5 +/
    > А, собственно, ЗАЧЕМ поддержка жабоскрипта в сабах?

    Её там и нет. Это кривой плеер на жабоскрипте.

     
  • 2.15, X3asd (ok), 14:57, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > А, собственно, ЗАЧЕМ поддержка жабоскрипта в сабах?

    ты на патч погляди!

    https://github.com/popcorn-official/popcorn-desktop/commit/a9aa8e16610ee8cb23b

    там поддержка НЕ яваскрипта в сабах -- а поддержка возможности делать XSS-атаки через сабы :-)

     
  • 2.19, Аноним (-), 15:34, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > А, собственно, ЗАЧЕМ поддержка жабоскрипта в сабах?

    Чтобы можно было делать сабы бегущей строкой. Или эффекты, когда буковки с разных сторон летят и собираются в слова, а потом рассыпаются на части.

     
     
  • 3.20, Аноним (-), 16:46, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • +8 +/
    Вся суть веб-макак - главное чтоб красивенько и с анимациями, а на остальное - плевать
     
     
  • 4.37, Аноним (-), 11:26, 25/05/2017 [^] [^^] [^^^] [ответить]  
  • –1 +/
    У субтитров несколько форматов. SRT без анимации, цветных субтитров и пр. SSA/ASS с анимацией, цветными субтитрами и пр. Форматы совместимы, поэтому в большинстве случаев используется один алгоритм для их обработки.

    Цветные субтитры с анимацией нужны для караоке.

    Цветные субтитры нужны в диалогах с несколькими участниками, чтобы у каждого участника был свой цвет. Не нужно забывать, что субтитры придумали для слабослышащих и лишь после адаптировали для просмотра фильмов/программ на иностранном языке.

    Цветные субтитры с фоном позволяют заменить даже надписи в кадре (на знаках, письмах, газетах и пр.)

    Итог: цветные субтитры и анимация нужны и являются частью формата.

    > Вся суть веб-макак - главное чтоб красивенько и с анимациями, а на остальное - плевать

    Судя по написанному, претензия к разработчикам формата. Судя по тону, к программистам. Определись наконец против кого сегодня дружишь.

    Программисты допустили ошибку. Их ошибка вызвана кривой архитектурой и необходимостью выполнять ритуальные действия. Аналогичная проблема есть в php, где нужно не забывать экранировать параметры при передаче в запросы и выводе на экран. И в php это тоже одна из самых частых ошибок. Есть ошибки синтаксические, есть семантические, эта - архитектурная.

     
     
  • 5.45, anonym_unregistered (?), 09:24, 31/05/2017 [^] [^^] [^^^] [ответить]  
  • +/
    2.71б жеж твою мать!
     

  • 1.13, Аноним (-), 14:54, 24/05/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Я даже представить не могу, насколько изощренный *****код в этих плеерах, что текстовый файл с текстом (субтитры) может превращаться в исполняемый JS или как-то проводить что-то в духе sql инъекции ...
     
     
  • 2.29, Led (ok), 21:37, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • +/
    > Я даже представить не могу, насколько изощренный *****код в этих плеерах

    Да никакой он не "изощренный". Обычно "код" от обычной вэб-макакаки. Они другого не делают.

     

  • 1.18, Аноним (-), 15:31, 24/05/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Посоны, я не понял: если я с помощью Popcorn Time смотрю видео не во встроенном плеере, а в SMplayer, меня не затрагивает проблема?
     
     
  • 2.22, Admino (ok), 17:39, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Да, не затрагивает. Но это ещё не значит, что в Smplayer нет дыр :-)
     
     
  • 3.26, selishii (ok), 19:55, 24/05/2017 [^] [^^] [^^^] [ответить]  
  • +/
    Smplayer - "божественен", все остальное - "от лукавого".
     
     
  • 4.38, Lain_13 (ok), 11:29, 25/05/2017 [^] [^^] [^^^] [ответить]  
  • +2 +/
    mpv -_-
     

  • 1.39, KonstantinB (ok), 12:50, 25/05/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    О, я лет 15 назад тоже написал специализированный ftp-сервер с такой дыркой и меня похакали. :)
     
  • 1.40, Аноним (-), 14:11, 25/05/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А почему так пугают субтитры и дыра в них. И не пугает что некоторые популярные дистрибутивы с Kodi на борту, где Kodi работает от рута
     
     
  • 2.41, iPony (?), 14:17, 25/05/2017 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Это какие? Самый популярный пример можно?
     

  • 1.42, iPony (?), 14:32, 25/05/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    И страшно все же. Захотел мультфильмы лошадками посмотреть, а у тебя биткойн кошелек увели.
     
     
  • 2.43, КО (?), 15:56, 25/05/2017 [^] [^^] [^^^] [ответить]  
  • +/
    А то еще хуже, твой плеер вместо показа лошадок заставили манйить на дядю, а тебе квадратики показывать. :)
     
     
  • 3.46, anonym_unregistered (?), 09:27, 31/05/2017 [^] [^^] [^^^] [ответить]  
  • +/
    А Малевичу надо было запатентовать квадрат-то.
     

  • 1.44, thresh (??), 01:24, 27/05/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    В vlc нету remote code execution в этой проблеме, это вранье.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру