La única forma en que puedo afirmar esto con absoluta claridad es la siguiente:
Una vulnerabilidad es una vulnerabilidad es una vulnerabilidad.
No solucionar el problema es un ejercicio de extrema irresponsabilidad.
Razones técnicas:
- Posible escalada de privilegios.
- Se bloquea de archivos de entrada dañados, lo que lleva a UX incorrectos y otros desagradables.
- Si un usuario ve un archivo inocuo (es decir, no es un ejecutable), puede suponer que es seguro de usar, y luego ser pwned cuando esté lleno de código de shell.
- Podría estar enviando al instalador con software sensible a la seguridad.
Razones comerciales:
- Sus clientes le pagan dinero. Haga lo correcto por ellos, porque mantienen a su compañía a flote.
- Si algún Blackhat explota tu defecto, será una pesadilla de relaciones públicas, y tendrás que corregir el error de todos modos. Tiene sentido financiero gastar el tiempo del desarrollador en esto ahora, en lugar de hacerlo más tarde.
- Si el público se entera de que sabías sobre esto y nunca lo arreglaste ... bueno, obtienes la imagen.
- Las empresas que pierden datos debido a las vulnerabilidades en su código pueden y lo demandarán, especialmente si saben que usted pudo haberlo evitado.
Finalmente, una razón ética. Si su instalador es tan frecuente como parece (por ejemplo, los gustos de InstallShield, Nullsoft, etc.) es muy probable que tenga clientes cuyo software sea sensible a la seguridad. Esto podría ser algo tan importante como TrueCrypt o Tor, donde la gente puede, literalmente, resultar herida o muerta por fallas de seguridad.
Haz lo correcto. Arregla el error. Si se resiste incluso después de esto, es posible que desee ofrecerse a hacerlo en su propio tiempo, incluso si apesta tener que trabajar sin remuneración.
En una nota un poco menos seria, si descubro que estoy ejecutando su software de instalación, y descubro que tiene que molestar a la gerencia para corregir un error de seguridad, probablemente me vaya a huir de su compañía de esta manera:
