Im ASF-Demuxer des VLC ist ein Fehler, der zum Einschleusen von Schadsoftware genutzt werden kann.
Im ASF-Demuxer des VLC ist ein Fehler, der zum Einschleusen von Schadsoftware genutzt werden kann. (Bild: VideoLAN)

Videolan Client Sicherheitslücke im ASF-Demuxer

Über einen Fehler im ASF-Demuxer des Videolan Clients (VLC) lässt sich möglicherweise Schadcode auf den Rechner eines Opfers einschleusen. Ein Patch ist bereits in Arbeit. Bis dahin sollten Anwender das VLC-Plugin im Browser deaktivieren.

Anzeige

Die Entwickler des Videolan Clients weisen in einer Sicherheitsmeldung darauf hin, dass ein Fehler im ASF-Demuxer der Multimediasoftware möglicherweise dazu genutzt werden kann, Schadcode auf einem Rechner auszuführen. Der Schadcode lässt sich in einer speziell präparierten Videodatei in Microsofts ASF-Format einfügen. Der Fehler ist laut Entwicklern in allen bisherigen Versionen des VLC enthalten.

Mit dem Browser-Plugin von VLC kann der Schadcode auch über eine Webseite übertragen werden. Deshalb raten die Entwickler, ein installiertes Plugin im Browser vorübergehend zu deaktivieren. Außerdem sollten Nutzer keine unbekannten ASF-Dateien abspielen, bis der Fehler behoben ist. Alternativ lässt sich die Bibliothek libasf_plugin.* aus dem Installationsverzeichnis entfernen. Damit wird das Abspielen einer ASF-Datei ebenfalls verhindert.

Unerlaubter Zugriff auf den Speicher

Eine speziell präparierte ASF-Datei kann einen Pufferüberlauf auslösen und so Schadcode unberechtigten Zugriff auf den Arbeitsspeicher ermöglichen. Dass dann bösartiger Code ausgeführt werden kann, sei möglich, aber nicht überprüft, schreiben die Entwickler in ihrem Hinweis. Bestätigt ist hingegen, dass der Fehler zu einem Absturz des VLC führt. Um den Fehler zu beheben, wurde ein Makro durch Static-Inline-Code und eine bessere Feldgrenzenüberprüfung ersetzt.

Ein Patch, der den Fehler behebt, sei bereits fertig, werde aber noch geprüft, schreiben die Entwickler. Er soll mit dem Update 2.0.6 ausgeliefert werden, dessen Veröffentlichung direkt nach dem Abschluss des Tests geplant ist. Derweil können Windows- und Mac-OS-X-Nutzer auch auf die täglich erscheinenden Nightly Builds zurückgreifen, die den Patch bereits enthalten.


RoqueNE 31. Jan 2013

Ah, interessant. DEP wirkt also nur effektiv mit ASLR zusammen. Und letzteres auch nur...

Kommentieren



Anzeige

  1. Executive Assistant CTO (m/w)
    über delphi HR-Consulting GmbH, keine Angabe
  2. Teamleiter / Senior System Analyst EDI (m/w)
    HAVI Logistics Business Services GmbH, Duisburg
  3. Microsoft SQL Server Datenbank & Infrastruktur Consultant (m/w)
    über 3C - Career Consulting Company GmbH, Dienstsitz München, Einsatzgebiet Raum München/Ingolstadt
  4. Softwareentwickler/-in
    Robert Bosch GmbH, Abstatt

 

Detailsuche


Folgen Sie uns
       


  1. Adobe

    Aktuelle Flash-Sicherheitslücken bereits in Exploit-Kits

  2. Airbus

    A350-Piloten bekommen WLAN-Zugang im Cockpit

  3. Laura Poitras

    "Wir leben in dunklen Zeiten"

  4. Streaming-Dienst

    Netflix-App für Amazons Fire TV ist da

  5. Pilot tot

    Spaceship Two stürzt in der Mojave-Wüste ab

  6. Bewegungsprofile

    Dobrindt wegen "Verkehrs-Vorratsdatenspeicherung" kritisiert

  7. Anonymisierung

    Facebook ist im Tor-Netzwerk erreichbar

  8. Spielekonsole

    Neuer 20-nm-Chip für sparsamere Xbox One ist fertig

  9. Günther Oettinger

    EU-Digitalkommissar will Urheberrechtssteuer für alle

  10. Ruhemodus

    Noch ein Bug in Firmware 2.0 der Playstation 4



Haben wir etwas übersehen?

E-Mail an news@golem.de



OS X Yosemite im Test: Continuity macht den Mac zum iPhone-Helfer
OS X Yosemite im Test
Continuity macht den Mac zum iPhone-Helfer
  1. OS X 10.10 Yosemite ist da
  2. Betriebssystem Apple bringt dritte öffentliche Beta von OS X 10.10
  3. Apple OS X Yosemite - die zweite öffentliche Beta ist da

Samsung Galaxy Note 4 im Test: Ausdauerndes Riesen-Smartphone mit Top-Hardware
Samsung Galaxy Note 4 im Test
Ausdauerndes Riesen-Smartphone mit Top-Hardware
  1. Galaxy Note 4 4,5 Millionen verkaufte Geräte in einem Monat
  2. Samsung Galaxy Note 4 wird teurer und kommt früher
  3. Gapgate Spalt im Samsung Galaxy Note 4 ist gewollt

iPad Air 2 im Test: Toll, aber kein Muss
iPad Air 2 im Test
Toll, aber kein Muss
  1. Tablet Apple verdient am iPad Air 2 weniger als am Vorgänger
  2. iFixit iPad Air 2 - wehe, wenn es kaputtgeht
  3. iPad Air 2 Benchmark Apples A8X überrascht mit drei Prozessor-Kernen

    •  / 
    Zum Artikel