VLC Media Player: Kritische Schwachstelle bereits seit über einem Jahr behoben

Die vor wenigen Tagen entdeckte Schwachstelle im VLC Media Player ist nach Anaben der Entwickler bereits im April 2018 mit Version Version 3.0.3 behoben worden. Sie monieren außerdem, dass sie nicht über den Fehler informiert worden sind und fragen sich, ob das auch passiert wäre, wenn bei einem großen Hersteller wie Microsoft ein vermeintlicher Fehler gefunden worden wäre.

Außerdem würde diese Vorgehensweise des MITRE, die die Liste der Common Vulnerabilities and Exposures (CVE) verwaltet, die eigenen Richtlinien verletzen, die vor der Veröffentlichung einer CVE einen Kontakt zum Entwickler der betroffenen Software vorschreibt.

Nach Angaben der VLC-Macher führte eine veraltete Linux-Version, deren System-Bibliotheken offenbar nicht auf dem aktuellen Stand gewesen sind zu der fehlerhaften Sicherheitsanalyse. Auch habe sich der „Entdecker“ der Schwachstelle bislang nicht bei den Entwicklern der populären Medienabspielsoftware gemeldet.

Immerhin findet man nun unter dem entsprechenden CVE-Eintrag, dass der angeblicher Fehler erneut untersucht wird.
Angebliche VLC-Schwachstelle CVE-2019-13615 wird erneut untersucht (Screenshot: ZDNet.de)

Meldung vom 22.7: VLC Media Player: Kritische Schwachstelle entdeckt

In der populären Medienabspielsoftware VLC Media Player 3.0.7.1 wurde eine Sicherheitslücke (CVE-2019-13615) entdeckt, die das Ausführen von Code aus der Ferne erlaubt.

Derartige Schwachstellen werden in der Regel mit kritisch eingestuft. CERT-Bund stuft die Lücke mit „hoch“ ein, während das National Institute of Standards and Technology (NIST) sie mit einem Baselevel (CVSS v3.0) von 9,8 von 10 Gefahrenpunkten als „kritisch“ einstuft. Der Exploitable Score liegt aber nur bei 3.9.

VideoLAN VLC media player 3.0.7.1 has a heap-based buffer over-read in mkv::demux_sys_t::FreeUnused() in modules/demux/mkv/demux.cpp when called from mkv::Open in modules/demux/mkv/mkv.cpp.

Der Beschreibung zufolge muss für das Ausnutzen der Schwachstelle eine präparierte Videodatei geladen werden. Ob das automatisch passiert – etwa über einen Browser – oder der Nutzer manuell eingreifen muss, ist nicht klar.

Unklar ist auch, ob die Schwachstelle nur mit der Version 3.0.7.1 ausgenutzt werden kann oder auch frühere Varianten davon betroffen sind. Die aktuelle Version wurde über 35 Millionen mal heruntergeladen.