RCE su Instagram: Check Point svela una esecuzione di codice remota sulle App Android e iOS.

{"items":["b939cf_0d42b1c127b748099bbf606d1ff4829e~mv2.png"],"styles":{"galleryType":"Columns","groupSize":1,"showArrows":false,"cubeImages":true,"cubeType":"fill","cubeRatio":1,"isVertical":true,"gallerySize":300,"collageAmount":0,"collageDensity":0,"groupTypes":"1","oneRow":false,"imageMargin":5,"galleryMargin":0,"floatingImages":0,"chooseBestGroup":true,"smartCrop":false,"hasThumbnails":false,"enableScroll":true,"isGrid":true,"isSlider":false,"isColumns":false,"isSlideshow":false,"cropOnlyFill":false,"fixedColumns":3,"enableInfiniteScroll":true,"isRTL":false,"minItemSize":50,"rotatingGroupTypes":"","rotatingCubeRatio":"","gallerySliderImageRatio":1.7777777777777777,"numberOfImagesPerRow":3,"numberOfImagesPerCol":1,"groupsPerStrip":0,"borderRadius":0,"boxShadow":0,"gridStyle":1,"mobilePanorama":false,"placeGroupsLtr":false,"viewMode":"preview","thumbnailSpacings":0,"galleryThumbnailsAlignment":"bottom","isMasonry":false,"isAutoSlideshow":false,"slideshowLoop":false,"autoSlideshowInterval":4,"useCustomButton":false,"bottomInfoHeight":0,"titlePlacement":"SHOW_ON_HOVER","galleryHorizontalAlign":"center","galleryTextAlign":"center","galleryVerticalAlign":"center","scrollSnap":false,"itemClick":"link","fullscreen":false,"allowSocial":false,"allowDownload":false,"allowTitle":true,"allowDescription":false,"loveButton":false,"loveCounter":false,"videoPlay":"onClick","scrollAnimation":"NO_EFFECT","scrollDirection":0,"overlayAnimation":"NO_EFFECT","arrowsPosition":0,"arrowsSize":23,"watermarkOpacity":40,"watermarkSize":40,"useWatermark":true,"watermarkDock":{"top":"auto","left":"auto","right":0,"bottom":0,"transform":"translate3d(0,0,0)"},"loadMoreAmount":"all","defaultShowInfoExpand":1,"allowTitleExpand":true,"allowDescriptionExpand":true,"allowLinkExpand":true,"expandInfoPosition":0,"allowFullscreenExpand":true,"fullscreenLoop":false,"galleryAlignExpand":"left","addToCartBorderWidth":1,"addToCartButtonText":"","slideshowInfoSize":200,"playButtonForAutoSlideShow":false,"allowSlideshowCounter":false,"hoveringBehaviour":"APPEARS","thumbnailSize":120,"magicLayoutSeed":1,"imageHoverAnimation":"NO_EFFECT","calculateTextBoxHeightMode":"AUTOMATIC","calculateTextBoxWidthMode":"PERCENT","textBoxHeight":0,"textBoxWidth":200,"textBoxWidthPercent":50,"textImageSpace":10,"textBoxBorderRadius":0,"textBoxBorderWidth":0,"textsVerticalPadding":0,"textsHorizontalPadding":0,"titleDescriptionSpace":6,"customButtonText":"","customButtonBorderWidth":1,"customButtonBorderRadius":0,"loadMoreButtonText":"","loadMoreButtonBorderWidth":1,"loadMoreButtonBorderRadius":0,"imageInfoType":"NO_BACKGROUND","itemBorderWidth":0,"itemBorderRadius":0,"itemEnableShadow":false,"itemShadowBlur":20,"itemShadowDirection":135,"itemShadowSize":10,"imageLoadingMode":"BLUR","expandAnimation":"NO_EFFECT","imageQuality":90,"usmToggle":false,"usm_a":0,"usm_r":0,"usm_t":0,"videoSound":false,"videoSpeed":"1","videoLoop":true,"galleryLayout":2,"gallerySizeType":"px","gallerySizePx":300,"allowHover":true,"mobileSwipeAnimation":"NO_EFFECT","gotStyleParams":true,"showVideoPlayButton":true,"selectedLayout":"2|bottom|1|fill|true|0|true","m_numberOfImagesPerRow":3,"modifiedGallerySize":true,"layoutsVersion":2,"selectedLayoutV2":2,"isSlideshowFont":false,"externalInfoHeight":0,"externalInfoWidth":0},"container":{"galleryWidth":2570,"galleryHeight":1440,"scrollBase":0,"height":null,"width":null}}

#Instagram, con oltre 100 milioni di foto caricate ogni giorno, è una delle #piattaforme #social più popolari.

#CheckPoint Research ha quindi deciso di verificare la sicurezza dell'app su #Android e #iOS, rilevando una #vulnerabilità critica che può essere utilizzata per eseguire codice remoto sul telefono della vittima.

Il modus operandi per questa ricerca è stato quello di esaminare i progetti di terze parti utilizzati da Instagram.

Molti sviluppatori di #software, utilizzano progetti #opensource nel loro software. Abbiamo trovato una vulnerabilità nel modo in cui Instagram utilizza #Mozjpeg , il progetto open source utilizzato come decodificatore del formato #JPEG.

Nello scenario di attacco descritto di, un aggressore invia semplicemente una immagine alla vittima tramite e-mail, #WhatsApp o altre piattaforme di scambio multimediale. Quando la vittima apre l'app di Instagram, ha luogo lo sfruttamento.

Tale vulnerabilità è stata rilevata utilizzando la tecnica del #fuzzing, che abbiamo visto ieri.

#redhotcyber #cybersecurity #hacking #rce #zeroday

https://research.checkpoint.com/2020/instagram_rce-code-execution-vulnerability-in-instagram-app-for-android-and-ios/amp/