Una vulnerabilità di sicurezza nell'applicazione PlayStation Now per Windows permetteva ai potenziali aggressori di eseguire codice malevolo sui PC dei malcapitati che utilizzavano una delle versioni dell'app affette dal problema.
La vulnerabilità è stata scoperta dal "cacciatore di taglie" Parsia Hackimian e colpiva tutte le versioni di PS Now precedenti alla 11.0.2 e tutti i PC dotati di Windows 7 SP1 o successivo. Il bug è stato comunicato a Sony il 13 maggio del 2020 tramite il programma HackerOne, mentre è stato risolto dal team PlayStation un mese dopo ovvero il 25 luglio.
Hackimian è stato premiato con 15 mila dollari per aver scoperto il problema, nonostante la vulnerabilità non riguardasse direttamente gli obiettivi del programma di caccia al bug di Sony, i quali comprendono PlayStation 4 e PlayStation 5, i loro sistemi operativi, gli accessori o il PlayStation Network.
My $15K PlayStation bug has finally been disclosed. My one and only tip is to read every single @taviso bug. This is essentially two of his public bugs chained together. https://t.co/0tQyJmn3q9
— Parsia Hakimian (@CryptoGangsta) December 4, 2020
Il ricercatore ha scoperto che due vulnerabilità note, quando concatenate, permettevano agli aggressori non autenticati di lanciare attacchi di esecuzione remota del codice (RCE) abusando di una vulnerabilità di iniezione del codice.
"Qualsiasi sito web aperto in qualsiasi browser sulla stessa macchina può eseguire codice arbitrario attraverso una connessione websocket vulnerabile" ha spiegato Hakimian. "Il JavaScript caricato da AGL sarà in grado di generare processi sulla macchina" ha continuato il ricercatore "Questo può portare all'esecuzione arbitraria del codice. L'applicazione AGL non esegue alcun controllo su quali URL carica".
Come sottolinea BleepingComputer, per sfruttare con successo il bug RCE gli aggressori devono persuadere l'utente PS Now di cui vogliono compromettere il dispositivo ad aprire un sito appositamente creato utilizzando un link dannoso fornito tramite e-mail di phishing, forum, canali Discord o simili.
Dopo aver aperto il sito in un qualsiasi browser web sul proprio computer, gli script maligni sul sito si connetteranno al server locale WebSocket e chiederanno ad AGL di caricare il codice Node maligno da un altro sito ed eseguirlo sul dispositivo obiettivo dell'attacco.
Ricordiamo che PlayStation Now ha raggiunto oltre 2,2 milioni di abbonati alla fine di aprile 2020 sin dal lancio del servizio nell'ormai lontano 2014.
Lo smartwatch Amazfit GTS è disponibile su Amazon per soli 129 euro, cosa aspettate? Non fatevelo scappare!
