Videolan: Sicherheitslücke in VLC

Der Mediaplayer VLC enthält in der Version 1.1.5 eine möglicherweise kritische Sicherheitslücke. Ein Bufferoverflow könnte zum Ausführen von Code genutzt werden.

1. Januar 2011 um 11:53 Uhr / Jens Ihlenfeld

Ein Fehler beim Parsen ungültiger Header von Real-Media-Dateien in VLC kann genutzt werden, um einen Integer-Overflow auszulösen, der einen Heap-basierten Overflow auslösen kann. Derzeit sei unklar, ob sich darüber Code ausführen lasse, heißt es im Security Advisory 1007 des Videolan-Teams.

Um den Fehler auszunutzen, ist es notwendig, ein Opfer zum Öffnen einer präparierten Datei zu bringen. Daher sollten Nutzer mit verwundbaren VLC-Versionen bis einschließlich 1.1.5 keine Dateien aus unbekannten Quellen öffnen oder alternativ das Real-Demuxer-Plugin (libreal_plugin.*) entfernen.

VLC 1.1.6 soll den Fehler beheben, es steht derzeit aber nur im Quelltext zum Download bereit.