Abo
  • Services:
Anzeige
Im ASF-Demuxer des VLC ist ein Fehler, der zum Einschleusen von Schadsoftware genutzt werden kann.
Im ASF-Demuxer des VLC ist ein Fehler, der zum Einschleusen von Schadsoftware genutzt werden kann. (Bild: VideoLAN)

Videolan Client: Sicherheitslücke im ASF-Demuxer

Im ASF-Demuxer des VLC ist ein Fehler, der zum Einschleusen von Schadsoftware genutzt werden kann.
Im ASF-Demuxer des VLC ist ein Fehler, der zum Einschleusen von Schadsoftware genutzt werden kann. (Bild: VideoLAN)

Über einen Fehler im ASF-Demuxer des Videolan Clients (VLC) lässt sich möglicherweise Schadcode auf den Rechner eines Opfers einschleusen. Ein Patch ist bereits in Arbeit. Bis dahin sollten Anwender das VLC-Plugin im Browser deaktivieren.

Die Entwickler des Videolan Clients weisen in einer Sicherheitsmeldung darauf hin, dass ein Fehler im ASF-Demuxer der Multimediasoftware möglicherweise dazu genutzt werden kann, Schadcode auf einem Rechner auszuführen. Der Schadcode lässt sich in einer speziell präparierten Videodatei in Microsofts ASF-Format einfügen. Der Fehler ist laut Entwicklern in allen bisherigen Versionen des VLC enthalten.

Anzeige

Mit dem Browser-Plugin von VLC kann der Schadcode auch über eine Webseite übertragen werden. Deshalb raten die Entwickler, ein installiertes Plugin im Browser vorübergehend zu deaktivieren. Außerdem sollten Nutzer keine unbekannten ASF-Dateien abspielen, bis der Fehler behoben ist. Alternativ lässt sich die Bibliothek libasf_plugin.* aus dem Installationsverzeichnis entfernen. Damit wird das Abspielen einer ASF-Datei ebenfalls verhindert.

Unerlaubter Zugriff auf den Speicher

Eine speziell präparierte ASF-Datei kann einen Pufferüberlauf auslösen und so Schadcode unberechtigten Zugriff auf den Arbeitsspeicher ermöglichen. Dass dann bösartiger Code ausgeführt werden kann, sei möglich, aber nicht überprüft, schreiben die Entwickler in ihrem Hinweis. Bestätigt ist hingegen, dass der Fehler zu einem Absturz des VLC führt. Um den Fehler zu beheben, wurde ein Makro durch Static-Inline-Code und eine bessere Feldgrenzenüberprüfung ersetzt.

Ein Patch, der den Fehler behebt, sei bereits fertig, werde aber noch geprüft, schreiben die Entwickler. Er soll mit dem Update 2.0.6 ausgeliefert werden, dessen Veröffentlichung direkt nach dem Abschluss des Tests geplant ist. Derweil können Windows- und Mac-OS-X-Nutzer auch auf die täglich erscheinenden Nightly Builds zurückgreifen, die den Patch bereits enthalten.


eye home zur Startseite
RoqueNE 31. Jan 2013

Ah, interessant. DEP wirkt also nur effektiv mit ASLR zusammen. Und letzteres auch nur...



Anzeige

Stellenmarkt
  1. Schaeffler Technologies AG & Co. KG, Herzogenaurach
  2. Daimler AG, Stuttgart
  3. T-Systems International GmbH, Bonn
  4. IKEA IT Germany GmbH, Hofheim-Wallau


Anzeige
Blu-ray-Angebote
  1. 36,99€ (Vorbesteller-Preisgarantie)
  2. 5,49€
  3. 149,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Tipps für IT-Engagement in Fernost
  2. Globale SAP-Anwendungsunterstützung durch Outsourcing
  3. Mehr dazu im aktuellen Whitepaper von Bitdefender


  1. Update

    Onedrive erstellt automatisierte Alben und erkennt Pokémon

  2. Die Woche im Video

    Ausgesperrt, ausprobiert, ausgetüftelt

  3. 100 MBit/s

    Zusagen der Bundesnetzagentur drücken Preis für Vectoring

  4. Insolvenz

    Unister Holding mit 39 Millionen Euro verschuldet

  5. Radeons RX 480

    Die Designs von AMDs Partnern takten höher - und konstanter

  6. Koelnmesse

    Tagestickets für Gamescom ausverkauft

  7. Kluge Uhren

    Weltweiter Smartwatch-Markt bricht um ein Drittel ein

  8. Linux

    Nvidia ist bereit für einheitliche Wayland-Unterstützung

  9. Copyright

    Klage gegen US-Marine wegen 558.466-mal Softwarepiraterie

  10. Cosmos Rings

    Rollenspiel für die Apple Watch



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Nintendo auf dem Smartphone: Pokémon Go Out!
Nintendo auf dem Smartphone
Pokémon Go Out!
  1. Pokémon Go Verbraucherschützer reichen Abmahnung gegen Niantic ein
  2. Wearable Pokémon Go Plus grundsätzlich vorbestellbar
  3. T-Mobile US Telekom-Tochter bietet freien Datenverkehr für Pokémon Go an

Miniscooter: E-Floater, der Elektroroller für die letzte Meile
Miniscooter
E-Floater, der Elektroroller für die letzte Meile
  1. Relativity Space Raketenbau ohne Menschen
  2. Surround-Video Nico360 filmt 360-Grad-Videos zwischen Fingerspitzen
  3. Besuch bei Senic Das Kreuzberger Shenzhen

Pokémon Go im Test: Hype in der Großstadt, Flaute auf dem Land
Pokémon Go im Test
Hype in der Großstadt, Flaute auf dem Land
  1. Die Woche im Video Wirbel um Wasserwerke, Pokémon und Autopiloten
  2. Pokémon Go und Nutzerrechte Gotta catch 'em all!
  3. Nintendo und Niantic Pokémon Go in den USA erhältlich

  1. Re: Datenschutz ist lächerlich

    Bozzy | 13:05

  2. Re: Na dann viel Glück..

    DrWatson | 13:04

  3. Re: gmx.de und web.de nach wie vor standardmäßig...

    schachbrett | 12:58

  4. Re: Vodafone kann Verträge nicht einhalten

    The_Soap92 | 12:57

  5. Re: Ich finde es faszinierend,

    The_Soap92 | 12:53


  1. 13:08

  2. 09:01

  3. 18:26

  4. 18:00

  5. 17:00

  6. 16:29

  7. 16:02

  8. 15:43


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel