Gebruikers van populaire mediaspelers zoals Kodi, PopcornTime en VLC kunnen door kwaadaardige ondertitels worden gehackt, zo waarschuwt beveiligingsbedrijf Check Point. Volgens het bedrijf zijn er zo'n 200 miljoen videospelers en streamers die de kwetsbare software draaien.

Ondertitelbestanden worden vaak als onschuldige tekstbestanden gezien, maar dat is volgens de onderzoekers onterecht. Er zijn meer dan 25 verschillende ondertitelformaten in gebruik, elk met unieke eigenschappen en mogelijkheden. "Mediaspelers moeten vaak meerdere ondertitelformaten kunnen verwerken, waarbij elke mediaspeler een andere manier gebruikt. Net als met andere gevallen van gefragmenteerde software zorgt dit voor tal van verschillende kwetsbaarheden", aldus de onderzoekers. Via een kwaadaardige ondertitel is het mogelijk om het platform waarop de mediaspeler of streamer draait volledig over te nemen, zo waarschuwen ze.

Voor hun onderzoek keken ze naar VLC, Kodi, Popcorn Time en Stremio, maar waarschijnlijk zijn ook andere mediaspelers kwetsbaar. Bij alle vier de geteste spelers is het mogelijk om via een kwaadaardige ondertitel willekeurige code op het systeem uit te voeren. Ondertitels zijn via verschillende websites te downloaden, waarbij gebruikers ook zelf ondertitels kunnen uploaden en beoordelen. Sommige spelers kunnen de ondertitels ook automatisch downloaden. Een aanvaller zou het rankingsysteem van de website kunnen manipuleren om zo zijn eigen kwaadaardige ondertitel bovenaan te krijgen.

Check Point waarschuwde de ontwikkelaars van de verschillende mediaspelers. Sommige problemen waren al verholpen, terwijl andere nog worden onderzocht. Om de ontwikkelaars meer tijd te geven om de kwetsbaarheden te verhelpen is besloten om op dit moment geen verdere technische informatie vrij te geven. Wel wijst het beveiligingsbedrijf naar nieuwe versies van de onderzochte mediaspelers waarin updates zijn doorgevoerd. In onderstaande video wordt de aanval gedemonstreerd.