Go Pro Fusion Studio
Lỗ hổng báo cáo đặc quyền cục bộ tồn tại trong Go Pro Fusion Studio phiên bản 1.2. Go Pro Fusion Studio là phần mềm chỉnh sửa được thiết kế đặc biệt kết hợp tất cả các tính năng chỉnh sửa và chỉnh sửa cảnh phim dành riêng cho phương tiện được tạo bằng dòng máy ảnh Go Pro. Cả máy ảnh Go Pro và Go Pro Fusion Studio đều là sản phẩm của Go Pro, Inc. Bạn có thể tải xuống nền tảng chỉnh sửa từ trang web của nhà cung cấp và cài đặt trên hệ điều hành Windows của Microsoft và MacOSX của Apple.
Lỗ hổng được phát hiện bởi Humberto Cabrera trong phiên bản 1.2.1.400 của Go Pro Fusion Studio trên Microsoft Windows 10 Professional vào ngày 27 tháng 8 năm 2018. Nhà cung cấp đã được liên hệ cùng ngày nhưng không có phản hồi cho đến ngày 3 tháng 9 như do Cabrera đưa tin. Các phiên bản hiện tại bị ảnh hưởng của Go Pro Fusion Studio đã được phát hành trên 5thứ tựcủa tháng 6 năm 2018, cho cả Windows và MacOSX. Một phiên bản mới dự kiến sẽ giải quyết mối lo ngại về bảo mật này nhưng vẫn chưa có thông tin chính xác về thời điểm phiên bản này sẽ được phát triển hoặc tung ra thị trường vì nhà cung cấp vẫn giữ im lặng cho đến nay.
Theo phân tích sơ bộ về lỗ hổng của Phòng thí nghiệm Khoa học Zero , Go Pro Fusion Studio “gặp phải sự cố về đường dẫn tìm kiếm chưa được trích dẫn ảnh hưởng đến dịch vụ 'GoProFusionDeviceDetectionService' dành cho Windows được triển khai như một phần của giải pháp Ứng dụng GoPro Fusion Studio.“ Vì lỗ hổng này không thể khai thác từ xa, nó yêu cầu ai đó có quyền truy cập vào thiết bị gốc để nâng cao đặc quyền trên hệ thống. Điều này có nghĩa là người dùng không được ủy quyền làm việc trên thiết bị có thể khai thác lỗ hổng này thông qua việc thực thi mã tùy ý.
Nói như vậy, việc khai thác lỗ hổng này đòi hỏi kẻ tấn công phải lén lấy mã chứa tệp trong đường dẫn gốc của hệ thống mà không bị hệ điều hành hoặc bất kỳ cơ chế bảo mật cục bộ nào như phần mềm chống vi-rút bắt hoặc thách thức. Mã cần được chèn để có thể chạy khi Go Pro Fusion Studio được chạy. Khi phần mềm được chạy, mã được chèn sẽ cho phép người dùng tiếp tục với các đặc quyền nâng cao của ứng dụng.
