Se usate una distribuzione Linux popolare, come Fedora o Ubuntu, sappiate che ci sono buone probabilità che basti un file audio per violare il vostro sistema.

Lo ha dimostrato il ricercatore Chris Evans, il quale ha scoperto una vulnerabilità in Gstreamer, il framework multimediale utilizzato per default da molte distribuzioni.

In particolare la falla sta nella libreria nota come Game Music Emu, e che si occupa di emulare i chip audio delle console da gioco come il Nintendo SNES.

Per approfondire:

Bug critico in Linux, da nove anni

Bug di Linux, a rischio un miliardo e mezzo di smartphone Android

Rivoluzione Linux con le snap di Ubuntu ovunque

ShellShock, falla critica in Linux e Mac OS X

Evans ha preparato due file audio codificati secondo il formato SPC (usato dallo SNES) all'interno dei quali ha nascosto il codice che sfrutta la falla e che, trattandosi di una dimostrazione, si limita ad avviare la calcolatrice.

Poi ha assegnato a un file l'estensione flac e all'altro l'estensione mp3.

Cliccando su questi file, all'apparenza innocui brani musicali, in Ubuntu o in Fedora il sistema riconosce la presenza del formato SPC nonostante l'estensione e utilizza la libreria Game Music Emu per dare il via alla riproduzione.

A questo punto il codice nascosto nei file sfrutta la falla e può eseguire qualunque comando sia utilizzabili con i permessi dell'utente attivo.

Gli utenti normali generalmente possiedono permessi limitati, quindi anche i danni che questo attacco può fare sono limitati dal punto di vista della compromissione del sistema. Tuttavia, un malintenzionato già potrebbe usare questo exploit per accedere ai file, alle foto o alle email dell'utente e, in generale, ai suoi dati personali.

L'exploit funziona con l'ultima versione di Fedora (la 25) e con Ubuntu 16.04 LTS, come i video che riportiamo più sotto - realizzati da Chris Evans - dimostrano; al momento non c'è una patch.

Tutto ciò, secondo Evans, serve a dimostrare un fatto importante: non è vero che i sistemi Linux siano impenetrabili per natura.

Se infatti è vero che questa falla non interessa i server (sui quali molto difficilmente sarà presente Gstreamer, senza considerare il fatto che nessuno usa un server per riprodurre audio), diversi computer desktop sono vulnerabili.