Des experts ont découvert une faille de sécurité alarmante de type “zero résistance” au niveau de la gestion des sous-titres de films au sein de plusieurs lecteurs multimédias populaires, qui pourrait permettre à des cybercriminels de prendre le contrôle total de l’ordinateur d’un utilisateur.
Les fichiers de sous-titres, qui se trouvent dans un amas plutôt surprenant composé de 25 formats différents, sont normalement utilisés comme une commodité pour les personnes malentendantes, ou parce que le film a été réalisé dans une autre langue que celle de l’utilisateur.
La découverte faite par Check Point est que ces fichiers “texte”, apparemment inoffensifs et auxquels personne n’a vraiment accordé d’attention jusque-là, peuvent être utilisés pour cacher du contenu malveillant.
Tous ce que les cybercriminels ont à faire c’est d’utiliser une application multimédia afin de récupérer leurs fichiers de sous-titres, et ce en les faisant tout simplement remonter sournoisement dans la liste des fichiers contenus au niveau des dépôts open source populaires.
Voici, les lecteurs multimédias connus et concernés : VLC, Kodi (anciennement XMBC), Popcorn Time et Stremio, qui traitent ces fichiers de sous-titres en tant que contenu approuvé et les utilisent sans poser aucune question.
En fait, il ne s’agit pas d’une vulnérabilité faisant partie d’une nouvelle classe qui affecterait un logiciel en particulier avec les mêmes résultats : en effet, l’utilisateur est piégé sans rien faire, d’où l’appellation “zéro résistance”.
Les lecteurs multimédias ont été un terrain de chasse privilégié pour les experts en cybersécurité et les cybercriminels ces dernières années, mais trouver un problème basique qui touche plusieurs produits en même temps est très inhabituel.
Essayons de démêler le bon du mauvais. Le fait que les experts ait découvert le problème avant que les cybercriminels ne l’exploitent soit un vraiment une bonne chose. Il est également positif qu’il ait été divulgué et corrigé au niveau des quatre acteurs cités ci-dessous :
- VLC : corrigé et disponible en téléchargement.
- Kodi : corrigé et disponible en téléchargement.
- Stremio : corrigé et disponible en téléchargement.
- Popcorn Time : corrigé et disponible en téléchargement manuel.
Maintenant, d’un point de vue moins positif. Tout d’abord, si votre lecteur multimédia préféré n’est pas mentionné ci-dessus, ne considérez pas qu’il ne soit pas concerné. Les experts ont déclaré :
Nous avons des raisons de croire que des vulnérabilités similaires existent également dans d’autres lecteurs multimédias.
Nous pourrions aussi nous plaindre du fait que, bien que la faiblesse ne semble pas avoir été exploitée via de réelles attaques, un tel problème si évident et qui existe sous notre nez est plutôt pénible.
Mais l’inquiétude immédiate est que les centaines de millions de logiciels de lecteurs multimédias doivent être mis à jour avant que les cybercriminels puissent exploiter la faille en question. La description de la technique utilisée sur le site web de Check Point est vague, et il ne s’agit pas d’une défense définitive.
La rapidité avec laquelle cette mise à jour aura lieu n’est pas claire car le processus varie d’un produit à l’autre et d’une plate-forme à l’autre. Dans la plupart des cas, cela nécessitera une mise à jour manuelle et signifiera inévitablement que certains ne la recevront pas tout de suite ou peut-être jamais d’ailleurs.
Nous ne savons pas si les plates-formes mobiles telles qu’Android sont aussi affectées que Windows, mais il est plus sûr de considérer que cette faille puisse être modifiée pour fonctionner sur différents systèmes d’exploitation.
Ainsi, notre conseil est de mettre à jour vos lecteurs multimédias sur toutes les plateformes potentielles dès que possible. La prochaine fois que vous visionnerez un film, assurez-vous qu’un cybercriminel ne soit pas à côté de vous !
Billet inspiré de Put down the popcorn and patch your media player, sur Sophos nakedsecurity.
