Dropbox vítima de uma vulnerabilidade de dia zero que coloca em risco instalações em computadores Windows
Estamos cada vez mais preocupados com a segurança de nossos dados e dos aplicativos e ferramentas que utilizamos em nossos computadores. Seja via PC ou celular ou usando plataformas baseadas em nuvem, estamos atentos a qualquer ameaça que possa surgir nesse sentido, sendo o Facebook ou o Twitter nossos dois exemplos .
Agora é o Dropbox, o popular aplicativo que nos permite ter espaço na nuvem, que tem uma vulnerabilidade de dia zero que ainda não foi corrigida definitivamente.Uma falha que pode colocar em risco os computadores Windows que usam o Dropbox e para os quais há apenas uma solução temporária por enquanto.
Sem atualização final
A falha em questão permite que um invasoracesse permissões reservadas na pasta System>, uma das seções mais confidenciais do sistema. Um bug que o Dropbox Updater (DropboxUpdater), que é instalado como um serviço com duas tarefas agendadas que são executadas com permissões do sistema e com testes realizados por pesquisadores, permite obter um shell de linha de comando com privilégios SYSTEM. "
A falha foi comunicada à empresa, ao Dropbox, em setembro, dentro do prazo indicado para estes casos, mas após 90 dias ainda não há soluçãoou não o ofereceram. Há apenas um comunicado do Dropbox referindo-se ao problema e informando que estão trabalhando em uma solução que deve chegar nas próximas semanas:
Por enquanto não há solução oficial da empresa e para remediar, mesmo que temporariamente, você tem que fazer uso de solução alternativa via 0Patch . É uma plataforma que oferece micropatches para bugs que ainda não foram corrigidos oficialmente. Nas palavras de Mitja Kolsek, CEO da empresa Acros Security
Este patch é temporário, como eles mesmos alertam. Corrige apenas a parte vulnerável e torna desnecessário reiniciar o computador para que funcione. No entanto, esta é apenas uma solução temporária até que o Dropbox libere uma atualização que pode ser usada localmente, mas também pode permitir um ataque em cadeia.
Fonte | BleepingComputer.
