Die vor wenigen Tagen entdeckte Schwachstelle im VLC Media Player ist nach Anaben der Entwickler bereits im April 2018 mit Version Version 3.0.3 behoben worden. Sie monieren außerdem, dass sie nicht über den Fehler informiert worden sind und fragen sich, ob das auch passiert wäre, wenn bei einem großen Hersteller wie Microsoft ein vermeintlicher Fehler gefunden worden wäre.
Außerdem würde diese Vorgehensweise des MITRE, die die Liste der Common Vulnerabilities and Exposures (CVE) verwaltet, die eigenen Richtlinien verletzen, die vor der Veröffentlichung einer CVE einen Kontakt zum Entwickler der betroffenen Software vorschreibt.
Nach Angaben der VLC-Macher führte eine veraltete Linux-Version, deren System-Bibliotheken offenbar nicht auf dem aktuellen Stand gewesen sind zu der fehlerhaften Sicherheitsanalyse. Auch habe sich der „Entdecker“ der Schwachstelle bislang nicht bei den Entwicklern der populären Medienabspielsoftware gemeldet.
Immerhin findet man nun unter dem entsprechenden CVE-Eintrag, dass der angeblicher Fehler erneut untersucht wird.
In der populären Medienabspielsoftware VLC Media Player 3.0.7.1 wurde eine Sicherheitslücke (CVE-2019-13615) entdeckt, die das Ausführen von Code aus der Ferne erlaubt.
Derartige Schwachstellen werden in der Regel mit kritisch eingestuft. CERT-Bund stuft die Lücke mit „hoch“ ein, während das National Institute of Standards and Technology (NIST) sie mit einem Baselevel (CVSS v3.0) von 9,8 von 10 Gefahrenpunkten als „kritisch“ einstuft. Der Exploitable Score liegt aber nur bei 3.9.
VideoLAN VLC media player 3.0.7.1 has a heap-based buffer over-read in mkv::demux_sys_t::FreeUnused() in modules/demux/mkv/demux.cpp when called from mkv::Open in modules/demux/mkv/mkv.cpp.
Der Beschreibung zufolge muss für das Ausnutzen der Schwachstelle eine präparierte Videodatei geladen werden. Ob das automatisch passiert – etwa über einen Browser – oder der Nutzer manuell eingreifen muss, ist nicht klar.
Unklar ist auch, ob die Schwachstelle nur mit der Version 3.0.7.1 ausgenutzt werden kann oder auch frühere Varianten davon betroffen sind. Die aktuelle Version wurde über 35 Millionen mal heruntergeladen.
OutSystems-Studie: 62 Prozent der Befragten haben Sicherheits- und Governance-Bedenken bei Softwareentwicklung mit KI-Unterstützung.
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…