У продукції українського виробника потокових телевізійних пристроїв було виявлено критичний недолік у віддаленому виконанні, який, якщо він експлуатується, надає зловмисникам можливість контролювати службу потокового відео та вміст на дисплеї.
Про це повідомляє ZDNet.
За даними компанії Check Point Research, джерелом небезпеки був Infomir – провайдер українського IPTV (Інтернет-телебачення), OTT (Over-the-Top) і VoD (Video-on-Demand).
Дослідники сказали в блозі, що веб-платформа управління Infomir, Ministra – також відома як Stalker – використовується для керування приставок (STB). Платформа виконує функцію каналу між споживачам STB та постачальниками телевізійних послуг, які купують на цій платформі.
Ministra вимагає аутентифікації для доступу – але логічна проблема переросла в серйозну вразливість системи безпеки, яка видалила цей захист.
Команді вдалося обійти вимогу для аутентифікації та захопити контроль над деякими адміністративними функціями AJAX API адміністратора через відмову ключів очищення, що призвело до можливості ін’єкції SQL і PHP Object та віддаленого виконання коду.
Check Point говорить, що важко оцінити повний вплив недоліку безпеки, але, оскільки понад 1000 постачальників вмісту та реселерів підключені до Ministra, найімовірніше, кількість клієнтів буде значною у всьому світі, які, можливо, зазнали впливу.
“Для того, щоб отримати телевізійну трансляцію, приставка підключається до Ministra, а постачальники послуг використовують платформу Ministra для управління своїми клієнтами”, – кажуть дослідники. – Вся база даних особистої інформації клієнтів та фінансові деталі можуть бути вкрадені, а також недолік у захисті дозволяє зловмисникам потенційно передати будь-який вміст, який вони обирають, на екрани їхньої мережі клієнтів.”
Вразливість була вперше виявлена у 2018 році і виправлена до публічного розкриття у версії Ministra 5.4.1 Однак, оскільки деякі постачальники послуг можуть не застосовувати виправлення, про цю вразливість також повідомляють на форумі CTA.
Нагадаємо, Google планує вжити додаткових заходів для боротьби з шахрайськими розширеннями для Chrome. Так, Google планує видаляти розширення з веб-магазину Chrome, якщо вони порушують нові політики.
До речі, спільна команда дослідників з Віргінського політехнічного інституту, аналітичного центру RAND і компанії Cyentia Institute опублікувала результати цікавого дослідження, з’ясувавши, яка кількість уразливостей, виявлених за останній десяток років, насправді використовувалася у реальних атаках.
Окрім цього, незважаючи на безліч шахрайських схем – від нав’язливої реклами і до майнінгу криптовалют за Ваш рахунок – існує кілька простих порад, які вбережуть Ваш браузер і комп’ютер від зовнішніх загроз.
