VLC, Kodi, Popcorn Time: Mediaplayer können über Untertitel gehackt werden

Untertitel sind praktisch, um Filme in einer fremden Sprache zu sehen oder eine andere Sprache zu lernen. Doch die Art und Weise, wie Mediaplayer damit umgehen, ist offenbar alles andere als sicher - bis jetzt.

Artikel veröffentlicht am ,
Untertitel können als Angriffsvektor genutzt werden.
Untertitel können als Angriffsvektor genutzt werden. (Bild: Checkpoint)

Zahlreiche Mediaplayer gehen offenbar unvorsichtig mit Untertiteldateien um und können daher unerwünschten Code auf dem Rechner der Nutzer ausführen. Das geht aus einer Untersuchung der Sicherheitsfirma Checkpoint hervor. Betroffen sind beliebte Apps wie VLC, Kodi (ehemals XBMC) und Popcorn Time, insgesamt sollen rund 200 Millionen Nutzer bereits eines der verwundbaren Programme genutzt haben.

Stellenmarkt
  1. Manager - DevOps & Software Integration (f/m/d)
    Aptiv Services Deutschland GmbH, Wuppertal
  2. Anwendungs- und Systemadministrator_in
    Hochschule für Technik und Wirtschaft Berlin, Berlin
Detailsuche

Angreifer können demnach laut Checkpoint manipulierte Untertiteldateien verwenden, um Rechner anzugreifen. Hauptproblem ist nach Angaben des Unternehmens die generelle Sicherheit entsprechender Programme. Zudem gebe es über 25 verschiedene Formate für Untertitel, alle mit verschiedenen Features und Funktionsweisen.

Checkpoint macht keine detaillierten Angaben zu technischen Details, um böswillige Angriffe zu verhindern. Zu vermuten ist allerdings, dass die Mediaplayer-Apps die Untertiteldateien nicht immer um eventuell eingeschleuste Befehle bereinigen und so Code zur Ausführung bringen, wie es bei zahlreichen Sicherheitslücken im Web-Bereich immer wieder geschieht. Dadurch kann es nach Angaben von Checkpoint möglich sein, den gesamten Rechner zu übernehmen.

Kaum Nutzerinteraktion erforderlich

Perfide ist, dass der Angriff kaum Interaktion der Nutzer benötigt. Viele Mediaplayer können so konfiguriert werden, dass sie Untertiteldateien aus vertrauten Verzeichnissen automatisch beziehen. Angreifer könnten die von ihnen präparierten Quellen zudem gezielt mit guten Bewertungen versehen, damit ihre Dateien bevorzugt ausgewählt werden.

Golem Karrierewelt
  1. Hands-on C# Programmierung: virtueller Zwei-Tage-Workshop
    13./14.09.2022, virtuell
  2. Cloud Competence Center: Strategien, Roadmap, Governance: virtueller Ein-Tages-Workshop
    06.10.2022, Virtuell
Weitere IT-Trainings

Die Hersteller haben aktuelle Versionen bereitgestellt, die die Sicherheitslücke beheben sollen. Entsprechende Downloads bieten Popcorn-Time, Kodi, VLC und Streamio an.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


recluce 07. Jul 2017

Selten so einen Unfug gelesen. Zum einen ist mir unklar, warum Du mehrere Videos auf...

recluce 07. Jul 2017

Kodi war für mich schon ca. 8 Jahre interessant, bevor ich Streaming überhaupt genutzt...

Dwalinn 29. Mai 2017

Oder einfach eine Erinnerung mal wieder ein VLC Update zu machen

nille02 25. Mai 2017

Durch aus möglich. Ich habe die commits der letzten Woche mal überflogen und mir ist in...



Aktuell auf der Startseite von Golem.de
Führung in der IT
Über das Unentbehrlichsein

Wie ich als Chef zum wandelnden Lexikon wurde und dabei meinen Spaß an der Arbeit verlor - und wie ich versuche, es besser zu machen.
Ein Erfahrungsbericht von @SoFuckingAgile

Führung in der IT: Über das Unentbehrlichsein
Artikel
  1. FTTC: Nachfrage für Vectoring der Telekom steigt um 60 Prozent
    FTTC
    Nachfrage für Vectoring der Telekom steigt um 60 Prozent

    Die Telekom sieht sich mit dem kupferbasierten Anschluss erfolgreich. Im Jahresvergleich hat sich der Kundenbestand um 1,3 Millionen auf 5,4 Millionen erhöht.

  2. Sensorfehler: Spinne legt Rendsburger Schwebefähre lahm
    Sensorfehler
    Spinne legt Rendsburger Schwebefähre lahm

    Ein Krabbeltier hat ein wichtiges Verkehrsmittel zur Überquerung des Nord-Ostsee-Kanals gestoppt - indem es ein Netz über einem Sensor gesponnen hat.

  3. Financial Modeling World Cup: Excel-E-Sport im Fernsehen
    Financial Modeling World Cup
    Excel-E-Sport im Fernsehen

    Ein TV-Sender in den USA übertrug erstmals die Ausscheidung der Excel-Weltmeisterschaft.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • PS5 jetzt bestellbar • Neuer MM-Flyer • MindStar (Gigabyte RTX 3070 Ti 699€, XFX RX 6950 XT 999€) • eBay Re-Store -50% • AVM Fritz-Box günstig wie nie • Top-SSDs 1TB/2TB (PS5) zu Hammerpreisen • MSI-Sale: Gaming-Laptops/PCs -30% • Der beste Gaming-PC für 2.000€ [Werbung]
    •  /