Categories: Sicherheit

VLC Media Player: Kritische Schwachstelle bereits seit über einem Jahr behoben

Die vor wenigen Tagen entdeckte Schwachstelle im VLC Media Player ist nach Anaben der Entwickler bereits im April 2018 mit Version Version 3.0.3 behoben worden. Sie monieren außerdem, dass sie nicht über den Fehler informiert worden sind und fragen sich, ob das auch passiert wäre, wenn bei einem großen Hersteller wie Microsoft ein vermeintlicher Fehler gefunden worden wäre.

VLC-Schwachstelle wurde nach Angaben der Entwickler bereits vor mehr als einem Jahr behoben (Screenshot: ZDNet.de).

Außerdem würde diese Vorgehensweise des MITRE, die die Liste der Common Vulnerabilities and Exposures (CVE) verwaltet, die eigenen Richtlinien verletzen, die vor der Veröffentlichung einer CVE einen Kontakt zum Entwickler der betroffenen Software vorschreibt.

Nach Angaben der VLC-Macher führte eine veraltete Linux-Version, deren System-Bibliotheken offenbar nicht auf dem aktuellen Stand gewesen sind zu der fehlerhaften Sicherheitsanalyse. Auch habe sich der „Entdecker“ der Schwachstelle bislang nicht bei den Entwicklern der populären Medienabspielsoftware gemeldet.

Immerhin findet man nun unter dem entsprechenden CVE-Eintrag, dass der angeblicher Fehler erneut untersucht wird.
Angebliche VLC-Schwachstelle CVE-2019-13615 wird erneut untersucht (Screenshot: ZDNet.de)

Meldung vom 22.7: VLC Media Player: Kritische Schwachstelle entdeckt

In der populären Medienabspielsoftware VLC Media Player 3.0.7.1 wurde eine Sicherheitslücke (CVE-2019-13615) entdeckt, die das Ausführen von Code aus der Ferne erlaubt.

Derartige Schwachstellen werden in der Regel mit kritisch eingestuft. CERT-Bund stuft die Lücke mit „hoch“ ein, während das National Institute of Standards and Technology (NIST) sie mit einem Baselevel (CVSS v3.0) von 9,8 von 10 Gefahrenpunkten als „kritisch“ einstuft. Der Exploitable Score liegt aber nur bei 3.9.

VideoLAN VLC media player 3.0.7.1 has a heap-based buffer over-read in mkv::demux_sys_t::FreeUnused() in modules/demux/mkv/demux.cpp when called from mkv::Open in modules/demux/mkv/mkv.cpp.

Der Beschreibung zufolge muss für das Ausnutzen der Schwachstelle eine präparierte Videodatei geladen werden. Ob das automatisch passiert – etwa über einen Browser – oder der Nutzer manuell eingreifen muss, ist nicht klar.

Unklar ist auch, ob die Schwachstelle nur mit der Version 3.0.7.1 ausgenutzt werden kann oder auch frühere Varianten davon betroffen sind. Die aktuelle Version wurde über 35 Millionen mal heruntergeladen.

Kai Schmerer @KaiSchmerer

Kai ist seit 2000 Mitglied der ZDNet-Redaktion, wo er zunächst den Bereich TechExpert leitete und 2005 zum Stellvertretenden Chefredakteur befördert wurde. Als Chefredakteur von ZDNet.de ist er seit 2008 tätig.

Recent Posts

Keine Süßigkeiten mehr: Android Q heißt einfach 10

Google hat den Namen der nächsten Android-Version bekannt gegeben und bricht mit einer Tradition. Das mobile Betriebssystem wird einfach Android…

53 Minuten ago

iPhone 11 Pro: Neues Objektiv für bessere Fotos

Apple wird vermutlich Mitte September 2019 neue iPhones, iPads und Apple Watches und vielleicht sogar ein 16 Zoll großes MacBook…

3 Stunden ago

Mi MIX 4: Technische Spezifikationen veröffentlicht

Das für den Herbst erwartete neue Xiaomi-Flaggschiff Mi MIX 4 soll über einen 4500 mAh starken Akku verfügen, der sich…

16 Stunden ago

Xiaomi Mi 9T mit 64 GByte Speicher für 244 Euro

Das Modell mit 128 GByte Speicher kostet aktuell 298,65 Euro. Ausgestattet ist das Mi 9T mit einem Snapdragon 730 und…

20 Stunden ago

Intel, IBM, Google und Microsoft fördern sicheres Computing

Viele der größten Unternehmen der Computerindustrie haben sich zu einen neuen Industriekonsortium zusammengeschlossen. Ziel des Confidential Computing Consortium ist es,…

22 Stunden ago

Künstliche Intelligenz: Google beurlaubt DeepMind-Mitbegründer

Der Mitbegründer der britische KI-Schmiede DeepMind Mustafa Suleyman war für KI-Anwendungen in den Bereichen Gesundheit und Energie verantwortlich. 2017 geriet…

23 Stunden ago