VLC Media Player: Kritische Schwachstelle bereits seit über einem Jahr behoben

Die vermeintliche Schwachstelle bezieht sich auf die Third-Party-Library "libebml", die diese seit April 2018 nicht mehr aufweist. Entgegen den eigenen Regeln hat das MITRE, die die CVEs verwaltet, nicht bei den VLC-Machern gemeldet.

Die vor wenigen Tagen entdeckte Schwachstelle im VLC Media Player ist nach Anaben der Entwickler bereits im April 2018 mit Version Version 3.0.3 behoben worden. Sie monieren außerdem, dass sie nicht über den Fehler informiert worden sind und fragen sich, ob das auch passiert wäre, wenn bei einem großen Hersteller wie Microsoft ein vermeintlicher Fehler gefunden worden wäre.

VLC-Schwachstelle wurde nach Angaben der Entwickler bereits vor mehr als einem Jahr behoben (Screenshot: ZDNet.de).VLC-Schwachstelle wurde nach Angaben der Entwickler bereits vor mehr als einem Jahr behoben (Screenshot: ZDNet.de).

Außerdem würde diese Vorgehensweise des MITRE, die die Liste der Common Vulnerabilities and Exposures (CVE) verwaltet, die eigenen Richtlinien verletzen, die vor der Veröffentlichung einer CVE einen Kontakt zum Entwickler der betroffenen Software vorschreibt.

Nach Angaben der VLC-Macher führte eine veraltete Linux-Version, deren System-Bibliotheken offenbar nicht auf dem aktuellen Stand gewesen sind zu der fehlerhaften Sicherheitsanalyse. Auch habe sich der „Entdecker“ der Schwachstelle bislang nicht bei den Entwicklern der populären Medienabspielsoftware gemeldet.

Immerhin findet man nun unter dem entsprechenden CVE-Eintrag, dass der angeblicher Fehler erneut untersucht wird.
Angebliche VLC-Schwachstelle CVE-2019-13615 wird erneut untersucht (Screenshot: ZDNet.de)Angebliche VLC-Schwachstelle CVE-2019-13615 wird erneut untersucht (Screenshot: ZDNet.de)

Meldung vom 22.7: VLC Media Player: Kritische Schwachstelle entdeckt

In der populären Medienabspielsoftware VLC Media Player 3.0.7.1 wurde eine Sicherheitslücke (CVE-2019-13615) entdeckt, die das Ausführen von Code aus der Ferne erlaubt.
VLC Media Player Logo (Bild: VLC)
Derartige Schwachstellen werden in der Regel mit kritisch eingestuft. CERT-Bund stuft die Lücke mit „hoch“ ein, während das National Institute of Standards and Technology (NIST) sie mit einem Baselevel (CVSS v3.0) von 9,8 von 10 Gefahrenpunkten als „kritisch“ einstuft. Der Exploitable Score liegt aber nur bei 3.9.

VideoLAN VLC media player 3.0.7.1 has a heap-based buffer over-read in mkv::demux_sys_t::FreeUnused() in modules/demux/mkv/demux.cpp when called from mkv::Open in modules/demux/mkv/mkv.cpp.

Der Beschreibung zufolge muss für das Ausnutzen der Schwachstelle eine präparierte Videodatei geladen werden. Ob das automatisch passiert – etwa über einen Browser – oder der Nutzer manuell eingreifen muss, ist nicht klar.

VLC Media Player 3.0.7.1 ist von einer Schwachstelle betroffen (Screenshot: ZDNet.de)

Unklar ist auch, ob die Schwachstelle nur mit der Version 3.0.7.1 ausgenutzt werden kann oder auch frühere Varianten davon betroffen sind. Die aktuelle Version wurde über 35 Millionen mal heruntergeladen.

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

1 Kommentar zu VLC Media Player: Kritische Schwachstelle bereits seit über einem Jahr behoben

Kommentar hinzufügen
  • Am 23. Juli 2019 um 9:17 von Jo Winter

    Deshalb wurde offensichtlich von Videolan die Version 3.0.7 verteilt, die man sich von der WEB-Seite herunter laden kann

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *