Abo
  • Services:
Anzeige
Im ASF-Demuxer des VLC ist ein Fehler, der zum Einschleusen von Schadsoftware genutzt werden kann.
Im ASF-Demuxer des VLC ist ein Fehler, der zum Einschleusen von Schadsoftware genutzt werden kann. (Bild: VideoLAN)

Videolan Client: Sicherheitslücke im ASF-Demuxer

Im ASF-Demuxer des VLC ist ein Fehler, der zum Einschleusen von Schadsoftware genutzt werden kann.
Im ASF-Demuxer des VLC ist ein Fehler, der zum Einschleusen von Schadsoftware genutzt werden kann. (Bild: VideoLAN)

Über einen Fehler im ASF-Demuxer des Videolan Clients (VLC) lässt sich möglicherweise Schadcode auf den Rechner eines Opfers einschleusen. Ein Patch ist bereits in Arbeit. Bis dahin sollten Anwender das VLC-Plugin im Browser deaktivieren.

Die Entwickler des Videolan Clients weisen in einer Sicherheitsmeldung darauf hin, dass ein Fehler im ASF-Demuxer der Multimediasoftware möglicherweise dazu genutzt werden kann, Schadcode auf einem Rechner auszuführen. Der Schadcode lässt sich in einer speziell präparierten Videodatei in Microsofts ASF-Format einfügen. Der Fehler ist laut Entwicklern in allen bisherigen Versionen des VLC enthalten.

Anzeige

Mit dem Browser-Plugin von VLC kann der Schadcode auch über eine Webseite übertragen werden. Deshalb raten die Entwickler, ein installiertes Plugin im Browser vorübergehend zu deaktivieren. Außerdem sollten Nutzer keine unbekannten ASF-Dateien abspielen, bis der Fehler behoben ist. Alternativ lässt sich die Bibliothek libasf_plugin.* aus dem Installationsverzeichnis entfernen. Damit wird das Abspielen einer ASF-Datei ebenfalls verhindert.

Unerlaubter Zugriff auf den Speicher

Eine speziell präparierte ASF-Datei kann einen Pufferüberlauf auslösen und so Schadcode unberechtigten Zugriff auf den Arbeitsspeicher ermöglichen. Dass dann bösartiger Code ausgeführt werden kann, sei möglich, aber nicht überprüft, schreiben die Entwickler in ihrem Hinweis. Bestätigt ist hingegen, dass der Fehler zu einem Absturz des VLC führt. Um den Fehler zu beheben, wurde ein Makro durch Static-Inline-Code und eine bessere Feldgrenzenüberprüfung ersetzt.

Ein Patch, der den Fehler behebt, sei bereits fertig, werde aber noch geprüft, schreiben die Entwickler. Er soll mit dem Update 2.0.6 ausgeliefert werden, dessen Veröffentlichung direkt nach dem Abschluss des Tests geplant ist. Derweil können Windows- und Mac-OS-X-Nutzer auch auf die täglich erscheinenden Nightly Builds zurückgreifen, die den Patch bereits enthalten.


eye home zur Startseite
RoqueNE 31. Jan 2013

Ah, interessant. DEP wirkt also nur effektiv mit ASLR zusammen. Und letzteres auch nur...



Anzeige

Stellenmarkt
  1. Accenture, Frankfurt am Main, Berlin
  2. MBtech Group GmbH & Co. KGaA, Neu-Ulm, Friedrichshafen
  3. SolarWorld AG, Bonn
  4. Plunet GmbH, Würzburg


Anzeige
Top-Angebote
  1. beim Kauf eines 6- oder 8-Core FX Prozessors
  2. 24,99€ inkl. Versand (PC), Konsole ab 29,99€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mit digitalen Workflows Geschäftsprozesse agiler machen
  2. Potenzialanalyse für eine effiziente DMS- und ECM-Strategie
  3. Tipps für IT-Engagement in Fernost


  1. Honor 8

    Dual-Kamera-Smartphone kostet ab 400 Euro in Deutschland

  2. Eigengebote

    BGH verurteilt Preistreiber zu hohem Schadenersatz

  3. IDE

    Kdevelop 5.0 nutzt Clang für Sprachunterstützung

  4. Hybridluftschiff

    Airlander 10 landet auf der Nase

  5. Verschlüsselung

    Regierung will nun doch keine Backdoors

  6. Gesichtserkennung

    Wir fälschen dein Gesicht mit VR

  7. Yoga Tab 3 Plus

    Händler enthüllt Lenovos neues Yoga-Tablet

  8. Mobile Werbung

    Google straft Webseiten mit Popups ab

  9. Leap Motion

    Early-Access-Beta der Interaktions-Engine für VR

  10. Princeton Piton

    Open-Source-Chip soll System mit 200.000 Kernen ermöglichen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Gear IconX im Test: Anderthalb Stunden Trainingsspaß
Gear IconX im Test
Anderthalb Stunden Trainingsspaß
  1. Samsung Display des Galaxy Note 7 ist offenbar nicht kratzfest
  2. PM1643 & PM1735 Samsung zeigt V-NAND v4 und drei Rekord-SSDs
  3. April, April? Samsung schummelt Apple Watch in eigenen Patentantrag

Thinkpad X1 Carbon 2013 vs 2016: Drei Jahre, zwei Ultrabooks, eine Erkenntnis
Thinkpad X1 Carbon 2013 vs 2016
Drei Jahre, zwei Ultrabooks, eine Erkenntnis
  1. Huawei Matebook im Test Guter Laptop-Ersatz mit zu starker Konkurrenz
  2. iPad Pro Case Razer zeigt flache mechanische Switches
  3. Thinkpwn Lenovo warnt vor mysteriöser Bios-Schwachstelle

Asus PG248Q im Test: 180 Hertz erkannt, 180 Hertz gebannt
Asus PG248Q im Test
180 Hertz erkannt, 180 Hertz gebannt
  1. Raspberry Pi 3 Booten über USB oder per Ethernet
  2. Autonomes Fahren Mercedes stoppt Werbespot wegen überzogener Versprechen
  3. Radeon RX 480 Dank DX12 und Vulkan reicht auch eine Mittelklasse-CPU

  1. Re: Das wird Konsequenzen haben

    DrWatson | 01:10

  2. Re: Reichweite Autobahn

    dEEkAy | 01:10

  3. Re: Ich lass das mal hier. Vielleicht objektiver.

    AliKarimi2 | 01:08

  4. Re: Konkurrenz für Supersportwagen?

    PeterHeat | 01:01

  5. Re: Oh Wunder....

    dominikp | 00:52


  1. 19:21

  2. 17:12

  3. 16:44

  4. 16:36

  5. 15:35

  6. 15:03

  7. 14:22

  8. 14:08


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel