Η επικοινωνία διακομιστή-πελάτη σε ορισμένες εκδόσεις του εργαλείου συμπίεσης αρχείων WinZip είναι ανασφαλής και θα μπορούσε να τροποποιηθεί για την αποστολή κακόβουλου ή παράνομου περιεχομένου στους χρήστες.
Το WinZip είναι ένα παλιό βοηθητικό πρόγραμμα για χρήστες Windows με ανάγκες αρχειοθέτησης αρχείων πέρα από την υποστήριξη που είναι ενσωματωμένη στο λειτουργικό σύστημα.
Αρχικά κυκλοφόρησε πριν από περίπου 30 χρόνια, το εργαλείο διαθέτει τώρα εκδόσεις για macOS, Android και iOS, καθώς και μια εταιρική έκδοση που προσθέτει λειτουργίες συνεργασίας. Σύμφωνα με τον ιστότοπό της εταιρείας, η εφαρμογή έχει περισσότερες από ένα δισεκατομμύριο λήψεις.
Κυκλοφορία καθαρού κειμένου
Το WinZip είναι επί του παρόντος στην έκδοση 25. Οι προηγούμενες εκδόσεις ελέγχουν τον διακομιστή για ενημερώσεις μέσω μη κρυπτογραφημένης σύνδεσης, μια αδυναμία που θα μπορούσε να εκμεταλλευτεί ένας hacker.
Ο Martin Rakhmanov της Trustwave SpiderLabs συνέλαβε την κίνηση από μια ευάλωτη έκδοση του εργαλείου για να δείξει αυτήν την μη κρυπτογραφημένη επικοινωνία.
Δεδομένης της ανασφαλούς φύσης του καναλιού επικοινωνίας, ο Rakhmanov λέει ότι η κίνηση μπορεί να «την αρπάξει κάποιος, να την χειραγωγήσει ή να πειραματιστεί μαζί της». Βέβαια βασική προϋπόθεση είναι ο εισβολέας να είναι στο ίδιο δίκτυο με τον χρήστη WinZip.
Ένας κίνδυνος που απορρέει από αυτήν την ενέργεια είναι η “δηλητηρίαση” του DNS, η οποία παραπλανά την εφαρμογή να ανακτήσει μια ψεύτικη ενημέρωση από έναν κακόβουλο διακομιστή ιστού.
«Ως αποτέλεσμα, ο ανυποψίαστος χρήστης μπορεί να εκκινήσει αυθαίρετο κώδικα σαν να είναι έγκυρη ενημέρωση», σημειώνει ο Rakhmanov σε μια ανάρτηση ιστολογίου σήμερα.
Σε καταχωρημένες εκδόσεις του WinZip που είναι ευάλωτες, ο εισβολέας θα μπορούσε επίσης να λάβει δυνητικά ευαίσθητες πληροφορίες, όπως το όνομα χρήστη και τον κωδικό εγγραφής.
Ο Ρακμάνοφ λέει ότι η επικοινωνία με κλασσικό κείμενο χρησιμοποιείται επίσης για την εμφάνιση αναδυόμενων παραθύρων που ενημερώνουν τους χρήστες με μια δωρεάν δοκιμαστική έκδοση του WinZip πόσος χρόνος έχουν απομείνει για δοκιμές.
Το περιεχόμενο στο αναδυόμενο παράθυρο είναι HTML που ανακτά το JavaScript. Αυτό επιτρέπει σε έναν εισβολέα στο δίκτυο να εκθέτει τους χρήστες σε αυθαίρετο περιεχόμενο που φαίνεται να προέρχεται απευθείας από διακομιστές WinZip.
Ο ερευνητής λέει ότι αυτό το σενάριο έρχεται επίσης με τον κίνδυνο εκτέλεσης αυθαίρετου κώδικα στο μηχάνημα του θύματος, επειδή το WinZip προσφέρει μερικά «ισχυρά» API στο JavaScript.
Με την κυκλοφορία του WinZip 25, δεν γίνεται πλέον επικοινωνία cleartext. Συνιστάται στους χρήστες να κάνουν αναβάθμιση στην πιο πρόσφατη έκδοση της εφαρμογής.
Ωστόσο, πολλοί χρήστες δεν μπορούν να πάρουν την τρέχουσα κυκλοφορία, επειδή πληρώνονται οι αναβαθμίσεις. Το τυπικό WinZip κοστίζει 35,64 $ και η έκδοση Pro είναι 59,44 $.
Εάν η αναβάθμιση του λογισμικού δεν είναι επιλογή, συνιστάται στους χρήστες να απενεργοποιούν τους ελέγχους ενημέρωσης. Αυτό θα σταματήσει τον πελάτη από το ερώτημα του διακομιστή WinZip για τη διαθεσιμότητα μιας νέας έκδοσης.
[signoff]
