VLC Media Player ist angreifbar

Durch einen speziell gestalteten MMS-Stream lässt sich der VLC-Player zum Absturz bringen. Laut VideoLAN ist potenziell auch eine Schadcodeausführung möglich.

In der weitverbreiteten und freien Mediaplayer-Software VLC Media Player klafft eine Sicherheitslücke, die es Angreifern ermöglicht, die Software zum Absturz zu bringen und potenziell sogar Schadcode auszuführen. Wie aus einem Security Bulletin des Entwicklers VideoLAN hervorgeht, handelt es sich um eine DoS-Schwachstelle (Denial of Service), die auf einem heap-basierten Integer-Überlauf beruht.

Ausnutzen lässt sich die Sicherheitslücke demnach durch einen speziell gestalteten MMS-Stream (Microsoft Media Server), der aktiv vom Benutzer in VLC geöffnet werden muss. "Bei Erfolg könnte eine böswillige dritte Partei entweder einen Absturz von VLC oder eine beliebige Codeausführung mit den Rechten des Zielbenutzers auslösen", erklärt der Entwickler der Software.

VideoLAN geht davon aus, dass eine Ausnutzung der Schwachstelle mit hoher Wahrscheinlichkeit nur zu einem Absturz der Software führt. Dennoch sei nicht auszuschließen, dass ein Angreifer damit Benutzerinformationen abgreifen oder aus der Ferne beliebigen Code ausführen (RCE) könne, heißt es in dem Bulletin.

ASLR (Address Space Layout Randomization) und DEP (Data Execution Prevention) trügen zwar dazu bei, "die Wahrscheinlichkeit der Codeausführung zu verringern, können aber umgangen werden", so der Entwickler.

Ein Patch steht bereit

Anfällig sind alle VLC-Versionen bis einschließlich 3.0.20. Details dazu, wie sich die Sicherheitslücke ausnutzen lässt, sind bisher nicht bekannt. Eine CVE-Nummer oder Einstufung des Schweregrades der Schwachstelle gibt VideoLAN nicht an. Der Entwickler betont jedoch, bisher keine Exploits gesehen zu haben, die die Ausführung von Schadcode ermöglichten.

Wer sich vor möglichen Angriffen schützen will, kann dies durch ein Update tun. Laut VideoLAN wurde das Problem mit der jüngst veröffentlichten Version 3.0.21 des VLC Media Player behoben. All jenen, die das Update noch nicht installiert haben, wird empfohlen, das Öffnen von MMS-Streams aus nicht vertrauenswürdigen Quellen zu meiden, bis die Software aktualisiert wurde.

Als Entdecker der Schwachstelle nennt VideoLAN Andreas Fobian vom deutschen IT-Sicherheitsdienstleister Mantodea Security GmbH. 

Gefunden auf https://www.golem.de/news/sicherheitsluecke-der-vlc-media-player-ist-angreifbar-2406-186018.html