Libavcodec: Fehler ermöglichen Codeausführung in VLC-Codecbibliothek

Speziell präparierte Videodateien können zur Codeausführung unter anderem in VLC genutzt werden. Dessen Entwickler verhalten sich aber zurückhaltend, zudem werfen die Berichte einige Fragen auf.

Artikel veröffentlicht am ,
Ob andere Projekte von dem Fehler betroffen sind, lässt sich derzeit nicht sagen.
Ob andere Projekte von dem Fehler betroffen sind, lässt sich derzeit nicht sagen. (Bild: Videolan)

Offenbar lassen sich zwei Lücken dazu ausnutzen, mit Hilfe speziell präparierter Videodateien bei der Verwendung des VLC-Players die Speicherverwaltung zu überlisten. Das wiederum könnte zum Ausführen von beliebigem Code durch Angreifer genutzt werden. Dem VLC-Team sind die Berichte seit knapp vier Wochen bekannt, wie es in der Mail zur öffentlichen Bekanntgabe heißt.

Stellenmarkt
  1. Software Developer (m/w/d)
    thinkproject Deutschland GmbH, Berlin
  2. DevOps Engineer (m/w/d)
    Friedrich PICARD GmbH & Co. KG, Bochum
Detailsuche

Doch nach einer nur relativ kurzen Diskussion im Bugtracker des Videolan-Projektes hat einer der Hauptentwickler sowohl den Fehlerbericht zur FLV-Datei als auch den zur M2V-Datei für weitere Debatten geschlossen. Zunächst noch mit der Begründung, dass die gefundenen Fehler nicht in VLC, sondern in der aus FFMpeg importierten Codec-Bibliothek Libavcodec zu suchen seien.

Darüber hinaus seien die Fehler aber auch nicht mehr in dem aktuellen Release Candidate der Version 2.2 vorhanden, deren finale Version in Kürze erscheinen solle. Ein genauer Termin ist dafür jedoch nicht bekannt. Daraus lässt sich auch schließen, dass die Fehler mit einer aktuellen Version von FFMpeg höchstwahrscheinlich nicht mehr auftreten. Vor allem diese Annahme macht die Fehlersuche für weitere Distributoren der Bibliothek schwierig.

Immerhin fehlen entsprechende Berichte zudem derzeit in dem Bugtracker von FFMpeg, so dass zumindest bis jetzt die Fehler noch nicht genau lokalisiert scheinen. Wegen der Fülle an unterstützten Codecs setzten neben VLC viele weitere Open-Source-Projekte die wohl betroffene Bibliothek ein, etwa der MPlayer. Ebenso kann das GStreamer-Framework per Plugin mit FFMpeg verwendet werden, und auch Googles Chrome kann auf diesen Code zurückgreifen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Raumfahrt
Astra startet mit großen Ambitionen Billigraketen in Alaska

Mit 250.000 US-Dollar sollen die Raketen von Astra zum Preis eines Sportwagens hergestellt werden können. Wie will die Firma das schaffen?
Von Frank Wunderlich-Pfeiffer

Raumfahrt: Astra startet mit großen Ambitionen Billigraketen in Alaska
Artikel
  1. Ubisoft: Avatar statt Assassin's Creed
    Ubisoft
    Avatar statt Assassin's Creed

    E3 2021 Als wichtigste Neuheit hat Ubisoft ein Spiel auf Basis von Avatar vorgestellt - und Assassin's Creed muss mit Valhalla in die Verlängerung.

  2. Fifa, Battlefield und Co.: Der EA-Hack startete mit Cookies für 10 US-Dollar
    Fifa, Battlefield und Co.
    Der EA-Hack startete mit Cookies für 10 US-Dollar

    Die Hacking-Gruppe erklärt dem Magazin Motherboard Schritt für Schritt, wie der Hack auf EA gelang. Die primäre Fehlerquelle: der Mensch.

  3. Onlinetickets: 17-Jähriger betrügt Bahn um 270.000 Euro
    Onlinetickets
    17-Jähriger betrügt Bahn um 270.000 Euro

    Mit illegal erworbenen Onlinetickets soll ein 17-Jähriger die Bahn um 270.000 Euro geprellt haben. Entdeckt wurde er nur durch Zufall.

Folgen Sie uns
       


Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Alternate (u. a. MSI Optix 27" WQHD/165 Hz 315,99€ und Fractal Design Vector RS Blackout Dark TG 116,89€) • Fractal Design Define S2 Black 99,90€ • Intel i9-11900 379€ • EPOS Sennheiser GSP 600 149€ • Amazon: PC-Spiele reduziert (u. a. C&C: Remastered Collection 9,99€) [Werbung]
    •  /