Una falla sin parchear en Dropbox podría permitir que un atacante o un malware tome el control de su computadora con Windows.

Esa es la palabra de los investigadores italianos "Decoder" y Chris Danieli, quienes descubrieron que la actualización de Dropbox El proceso mantiene los archivos de registro en una carpeta desprotegida y permite que incluso los usuarios sin privilegios agreguen y reemplacen archivos.

Los archivos de registro no deberían ser peligrosos, pero Decoder y Danieli encontraron formas de inyectar sus propios archivos de registro falsos que hacen que el actualizador de Dropbox haga cosas estúpidas y otorgue permisos de nivel de sistema a los usuarios locales.

Los investigadores no están publicando su código de explotación de prueba de concepto, pero Decoder proporcionó detalles técnicos en una publicación de blog y mostró cómo funciona el ataque en un video de YouTube.

Cómo protegerse

Computadora que suena dice que en este momento, la única solución disponible proviene de

0Parche, una empresa que proporciona parches temporales y no oficiales para el software de otras empresas. Dropbox dijo Forbes que un parche oficial se "lanzaría... en las proximas semanas." 

Podría intentar usar la solución temporal de 0Patch, es gratis para los usuarios domésticos y no requiere reiniciar, pero desconfiamos un poco de instalar software de compañías con las que no estamos familiarizados.

En cambio, Decoder recomienda eliminar un par de archivos enterrados en el directorio de Dropbox, pero no pudimos encontrar esos archivos en nuestra propia máquina.

Sin embargo, dado que este ataque requiere acceso local, haría bien en no permitir que extraños usen su PC e instalar uno de los mejor antivirus programas para prevenir la infección por malware oportunista.

Shlimited limitado

Decoder y Danieli dijeron que notificaron a Dropbox sobre la falla a mediados de septiembre y nos comunicamos con Dropbox para preguntar por qué se tarda tanto en producir un parche.

Dropbox le dijo a Forbes que "este error solo se puede aprovechar en circunstancias limitadas, y no hemos recibido ningún informe de esta vulnerabilidad que afecte a nuestros usuarios".

Eso no hace que esta falla sea menos grave. Un atacante necesita acceso local a una PC para comenzar este ataque, pero ese acceso se puede obtener fácilmente a través de una infección de malware de bajo nivel, como a través de un archivo adjunto de correo electrónico malicioso o un descarga drive-by desde un sitio web malicioso o dañado.

Al usar esta falla de Dropbox para obtener permisos del sistema, un usuario o una aplicación, piense en el malware, puede hacer casi cualquier cosa en la PC. Limitar los permisos de los usuarios, que normalmente recomendamos, no funcionará en este caso debido a la falla de escalada de privilegios.

  • los mejor antivirus software que puede obtener ahora
  • La mejor copia de seguridad en la nube
  • Los 10 mejores sitios para compartir y almacenar fotos

Obtenga acceso instantáneo a noticias de última hora, las mejores críticas, grandes ofertas y consejos útiles.

Gracias por registrarse en Tom's Guide. Recibirá un correo electrónico de verificación en breve.

Había un problema. Actualice la página y vuelva a intentarlo.

Sin spam, lo prometemos. Puede darse de baja en cualquier momento y nunca compartiremos sus datos sin su permiso.