Categories: Sicherheit

VLC Media Player: Kritische Schwachstelle bereits seit über einem Jahr behoben

Die vor wenigen Tagen entdeckte Schwachstelle im VLC Media Player ist nach Anaben der Entwickler bereits im April 2018 mit Version Version 3.0.3 behoben worden. Sie monieren außerdem, dass sie nicht über den Fehler informiert worden sind und fragen sich, ob das auch passiert wäre, wenn bei einem großen Hersteller wie Microsoft ein vermeintlicher Fehler gefunden worden wäre.

VLC-Schwachstelle wurde nach Angaben der Entwickler bereits vor mehr als einem Jahr behoben (Screenshot: ZDNet.de).

Außerdem würde diese Vorgehensweise des MITRE, die die Liste der Common Vulnerabilities and Exposures (CVE) verwaltet, die eigenen Richtlinien verletzen, die vor der Veröffentlichung einer CVE einen Kontakt zum Entwickler der betroffenen Software vorschreibt.

Nach Angaben der VLC-Macher führte eine veraltete Linux-Version, deren System-Bibliotheken offenbar nicht auf dem aktuellen Stand gewesen sind zu der fehlerhaften Sicherheitsanalyse. Auch habe sich der „Entdecker“ der Schwachstelle bislang nicht bei den Entwicklern der populären Medienabspielsoftware gemeldet.

Immerhin findet man nun unter dem entsprechenden CVE-Eintrag, dass der angeblicher Fehler erneut untersucht wird.
Angebliche VLC-Schwachstelle CVE-2019-13615 wird erneut untersucht (Screenshot: ZDNet.de)

Meldung vom 22.7: VLC Media Player: Kritische Schwachstelle entdeckt

In der populären Medienabspielsoftware VLC Media Player 3.0.7.1 wurde eine Sicherheitslücke (CVE-2019-13615) entdeckt, die das Ausführen von Code aus der Ferne erlaubt.

Derartige Schwachstellen werden in der Regel mit kritisch eingestuft. CERT-Bund stuft die Lücke mit „hoch“ ein, während das National Institute of Standards and Technology (NIST) sie mit einem Baselevel (CVSS v3.0) von 9,8 von 10 Gefahrenpunkten als „kritisch“ einstuft. Der Exploitable Score liegt aber nur bei 3.9.

VideoLAN VLC media player 3.0.7.1 has a heap-based buffer over-read in mkv::demux_sys_t::FreeUnused() in modules/demux/mkv/demux.cpp when called from mkv::Open in modules/demux/mkv/mkv.cpp.

Der Beschreibung zufolge muss für das Ausnutzen der Schwachstelle eine präparierte Videodatei geladen werden. Ob das automatisch passiert – etwa über einen Browser – oder der Nutzer manuell eingreifen muss, ist nicht klar.

Unklar ist auch, ob die Schwachstelle nur mit der Version 3.0.7.1 ausgenutzt werden kann oder auch frühere Varianten davon betroffen sind. Die aktuelle Version wurde über 35 Millionen mal heruntergeladen.

Kai Schmerer @KaiSchmerer

Kai ist seit 2000 Mitglied der ZDNet-Redaktion, wo er zunächst den Bereich TechExpert leitete und 2005 zum Stellvertretenden Chefredakteur befördert wurde. Als Chefredakteur von ZDNet.de ist er seit 2008 tätig.

Recent Posts

Schnäppchen: Xiaomi Mi 10 für 662 Euro

Gegenüber dem offiziellen Verkaufspreis bietet der chinesische Online-Shop Gearbest das Mi 10 fast 140 Euro günstiger an. Leider gilt das…

4 Stunden ago

Xiaomi spendet 120.000 Atemschutzmasken

Das Deutsche Rote Kreuz nimmt die Lieferungen in Empfang und übernimmt die Verteilung in Abstimmung mit den lokalen Behörden. Weitere…

7 Stunden ago

Factsheet zur Einrichtung von Kurzarbeitergeld (Kug) in SAP HCM

SAP Full-Service-Provider Nexus / Enterprise Solutions erweitert angesichts von Corona Support und Kundenbetreuung – Neues Factsheet zu Kurzarbeitergeld und SAP…

8 Stunden ago

Windows 10: KB4535996 sorgt für Probleme bei VPN-Verbindungen

Betroffen sind sämtliche Windows-Versionen, die seit Herbst 2017 erschienen sind. Ein Neustart soll das Problem temprorär beheben. Anfang April will…

9 Stunden ago

Galaxy S7 und Galaxy S7 Edge: März-Patch wird ausgeliefert

Das Update steht für die freien Geräte parat. Vor knapp zwei Monaten hatte Samsung die Provider-Modelle mit dem Januar-Sicherheitspatch versorgt.

10 Stunden ago

Microsoft: Nutzung der Clouddienste steigt um 775 Prozent

In den Regionen mit Ausgangsbeschränkungen steigt die Nutzund der Cloudienste erheblich. Vor allem Teams, Windows Virtual Desktop und Power BI…

12 Stunden ago