Siber güvenlik çözüm sağlayıcısı Trustwave, WinZip dosya sıkıştırma yazılımında, bir kullanıcının bilgisayarına kötü amaçlı yazılım enjekte etmek için kullanılabilecek bir dizi güvenlik açığı tespit etti. Açık, sunucu-istemci iletişim kanalında bulunuyor.
Trustwave'e göre WinZip'in bazı eski sürümleri, güncellemeleri ararken, sunucuyla iletişim kurarken istekleri şifrelenmemiş bir bağlantı üzerinden açık metin olarak gönderiyor. Sonuç olarak, HTTP bağlantısı kötü niyetli biri tarafından kolayca ele geçirilebilir ve kötü amaçlı yazılımları gizlice yerleştirmenin bir yolu olarak kullanılabilir.
Trustwave araştırmacıları tarafından başka sorunlar da keşfedildi. Örneğin WinZip, güncelleme istekleri gönderirken aynı şifrelenmemiş kanal üzerinden kullanıcı adları ve kayıt kodları da dahil olmak üzere hassas olabilecek bilgileri gönderiyor. Bu, bir saldırganın da bu bilgilere kolayca erişebileceği anlamına geliyor.
Sorun, Winzip'in 24 sürümünde tespit edildi. Kullanıcıların kendilerini bu kötü amaçlı yazılım saldırılarına karşı korumalarının en kolay yolu, WinZip 25'e yükseltmek çünkü bu sürüm, sunucu iletişimi için HTTPS kullanıyor.