Nowa podatność w komunikatorze Slack

Załatana została podatność w aplikacji Slack na komputery z systemem Windows. Umożliwiała ona atakującym kradzież oraz dokonywanie zmian w pobranych plikach użytkownika docelowego.

David Wells, badacz w firmie Tenable, odkrył, że w wersji 3.3.7 komunikatora występuję luka, którą można wykorzystać nakłaniając użytkownika do kliknięcia w spreparowany link, wysłany przez dowolny kanał. Podatność została załatana wraz z wydaniem wersji 3.4.0.

Za pomocą linków możliwa jest zmiana lokalizacji, w której pliki użytkownika są pobierane za pomocą ustawienia PrefSSBFileDownloadPath. Atakujący może zmienić miejsce docelowe pobierania plików na sobie znaną ścieżkę.

Przykladowy link: slack://settings/?update={‘PrefSSBFileDownloadPath’:’<newDownloadLocation>’}

Po tym, jak ofiara kliknie łącze, wszystkie pobierane  w przyszłości pliki trafią do lokalizacji określonej przez atakującego. Ponadto atakujący  może dokonywać zmian w pobranych plikach np. może zmodyfikować dokumenty finansowe pobrane przez ofiarę lub wstrzyknąć złośliwe oprogramowanie do pobranych plików pakietu Office.

Więcej informacji: https://www.techrepublic.com/article/slack-vulnerability-allows-attackers-to-intercept-modify-downloads/