San Giphy, che salvava le GIF dove capitava

Patrono delle videochiamate in quarantena, delle GIF animate in chat e dei nomi di file che cominciano con «../».

Vita

L'8 giugno 2020 fu pubblicata la CVE-2020-6109, trovata da Cisco Talos nel client Zoom 4.6.10. In chat, un messaggio con l'estensione «giphy» diceva al client da dove scaricare una GIF animata e con che nome salvarla; il nome però non veniva ripulito, e con qualche «../» il file finiva in qualunque cartella scrivibile dall'utente, aprendo la strada all'esecuzione di codice. Zoom l'aveva corretto il 21 aprile, in piena pandemia, quando mezzo mondo viveva in videochiamata.

Preghiera

O San Giphy, che porti gattini animati fin nelle cartelle sbagliate, fa' che i nostri client controllino il nome prima di aprire la porta. Amen.

Come si festeggia

Si festeggia aggiornando il client Zoom e ripulendo ogni nome di file che arriva dalla rete, prima di mandare l'ennesima GIF di un gatto.