Carpetas de Dropbox “orientadas al público” cargadas en la máquina de administradores. ¿Problemas potenciales de seguridad?

3

Tenemos un cliente que utiliza Wufoo para los formularios de sus sitios web. Uno de sus formularios contiene una función de carga de archivos, que se configura en Wufoo para colocar el archivo cargado en una carpeta de Dropbox. Esta carpeta de Dropbox se sincroniza con una computadora de oficina, por lo que cualquier archivo cargado termina en la computadora de oficina.

Todas las computadoras en computadoras compartidas con esta carpeta de Dropbox son Macs.

Obviamente hay un problema en el que alguien puede colocar un archivo en la computadora, pero es más peligroso que alguien que sepa su dirección de correo electrónico, ya que cualquiera puede enviarle un correo electrónico con un archivo adjunto.

¿Existe algún problema de seguridad potencial en el que alguien pueda cargar un archivo malicioso que luego se ejecute? ¿O cualquier otro problema potencial?

Si es así, ¿existe alguna forma de que pueda ajustar esto sin perder la funcionalidad?

    
pregunta sam 31.01.2016 - 18:12
fuente

1 respuesta

2

Sí, eso es muy peligroso. Debido a que el atacante puede colocar un archivo directamente en el disco, simplemente ver los contenidos del directorio puede infectar la máquina. Por ejemplo:

Supongo que la sincronización del equipo con Dropbox ejecuta Windows. Windows muestra imágenes de vista previa para todos los archivos (por ejemplo, documentos de Word, archivos de texto, imágenes, ...). Los que se generan en función del contenido del archivo. Cualquier archivo puede explotar una vulnerabilidad en un generador de miniaturas de este tipo cuando el usuario abre el directorio en el explorador de Windows.

Además de eso, todos los riesgos de seguridad que se aplican a los archivos adjuntos de correo electrónico también se aplican a este escenario (macros de Word maliciosas, etc.)

    
respondido por el marstato 31.01.2016 - 21:25
fuente

Lea otras preguntas en las etiquetas