Jeśli grasz z rekordboxa albo z CDJ-ów i XDJ-ów spiętych w sieć, zaktualizuj oprogramowanie. AlphaTheta potwierdziła lukę w PRO DJ LINK, przez którą osoba z dostępem do tej samej sieci mogła przeglądać pliki na podłączonych urządzeniach. W zależności od zestawu chodzi o zawartość pendrive'ów i kart SD w odtwarzaczach oraz o dane na komputerze z rekordboxem.

Na czym polega problem

PRO DJ LINK to system, którym odtwarzacze i rekordbox rozmawiają ze sobą po kablu albo Wi-Fi: stąd bierze się współdzielenie utworów z laptopa i informacje o tempie czy fazie między deckami. Do przesyłania plików używa serwera NFS i właśnie tu jest słabość. Badacz bezpieczeństwa, DJ i developer Chris L, znany jako Triode, odkrył, że przez ten kanał da się poprosić o pliki spoza tego, co system normalnie udostępnia. Zgłosił to producentowi i wstrzymuje publikację kodu demonstracyjnego do czasu pełnej łatki.

Ważne rozróżnienie: to nie jest scenariusz, w którym ktoś z drugiego końca świata wchodzi ci na pendrive'a. Atakujący musi być w tej samej sieci, której używa PRO DJ LINK. Jeśli grasz z USB w zamkniętym zestawie bez sieci, ryzyko wygląda zupełnie inaczej niż w klubie z otwartym Wi-Fi.

Których modeli to dotyczy

Lista jest długa. Z odtwarzaczy: XDJ-700, XDJ-1000MK2, CDJ-900NXS2, CDJ-2000NXS2, CDJ-3000 i CDJ-3000X. Z zestawów all-in-one: OMNIS-DUO, XDJ-RX2, XDJ-RX3, XDJ-RR i XDJ-XZ. Po stronie oprogramowania: rekordbox 6 i 7 na Windows i macOS oraz mobilny rekordbox na iOS i Androidzie. Miksery DJM nie są na liście, podobnie jak Stagehand i PRO DJ LINK Bridge. Producent dalej wypuszcza poprawki, więc warto sprawdzać jego aktualną listę.

Pięć rzeczy do zrobienia dziś

  • Zaktualizuj rekordbox do najnowszej wersji i wgraj firmware do odtwarzaczy, gdy tylko się pojawi.
  • Nie podłączaj sprzętu PRO DJ LINK do otwartych ani cudzych sieci.
  • Jeśli potrzebujesz Wi-Fi, użyj własnej, zabezpieczonej mocnym hasłem.
  • Nie trzymaj prywatnych dokumentów na tym samym pendrivie, z którego grasz.
  • Jeśli grasz z USB bez sieci, nie panikuj, ale i tak zaktualizuj sprzęt.

AlphaTheta nie potwierdziła żadnego przypadku, w którym luka została wykorzystana. To wciąż bardziej przypomnienie niż alarm: dzisiejsze decki to komputery w sieci i należy je traktować z taką samą uwagą jak laptopa. Aktualizacja, porządna sieć i czysty pendrive załatwiają sprawę.

Źródło: EDMTunes