Una ricerca nei laboratori Trend Micro, ha scoperto una vulnerabilità, vecchia di tre anni, che mette a rischio oltre 6 milioni di dispositivi tra smartphone, router e smart TV. Delle 547 app vulnerabili, 326 sono disponibili sul Google Play Store e ta di esse spicca quella di Netflix.
La vulnerabilità scoperta esisterebbe all’interno dell’SDK UPnP, chiamato anche libupnp. Questa particolare libreria viene utilizzata per implementare la riproduzione multimediale (DLNA) o NAT traversal (UPnP IGD). Le applicazioni su uno smartphone possono utilizzare queste funzionalità per riprodurre file multimediali o connettersi ad altri dispositivi all’interno della rete domestica di un utente.
Nonostante la vulnerabilità sia stata fissata nel dicembre del 2012, molte applicazioni usano ancora la vecchia versione vulnerabile del SDK. Sono state trovate 547 applicazioni che utilizzate versioni precedenti di libupnp, 326 delle quali sono disponibili su Google Play Store, incluse le applicazioni di alto profilo come Netflix e Tencent QQMusic. Queste sono applicazioni molto popolari e mettono milioni di utenti in pericolo.
Come funziona vulnerabilità?
La vulnerabilità risiede nel modo in cui la libreria libupnp gestisce i pacchetti Simple Service Discovery Protocol (SSDP). Questo protocollo fa parte dell’Universal Plug n’ Play (UPnP) lasciando di fatto aperta la porta UDP 1900.
L’applicazione Netflix è un applicazione molto popolare su Android, e la vulnerabilità si manifesta quando l’applicazione Android è utilizzata per controllare Netflix su un altro dispositivo, come ad esempio una PlayStation 3. Ad ogni modo, dopo ulteriori chiarimenti con Netflix, sembrerebbe che l’applicazione utilizza le correzioni di versioni più recenti di libupnp, così crediamo che non sarebbero poi così a rischio da potenziali attacchi. Il consiglio è sempre quello di tenere aggiornate le versioni delle vostre applicazioni.
Evitando di proseguire la discussione a livello tecnico, invitiamo i più curiosi e gli interessati ad approfondire la tematica sul sito Trend Micro.
