• IT-Karriere:
  • Services:

VLC-Player: Videolan will künftig eigene CVEs vergeben

Nach den Falschmeldungen um eine angeblich kritische Sicherheitslücke im VLC-Player wollen die Entwickler des Videolan-Projekts künftig eigene CVE-Nummern vergeben.

Artikel veröffentlicht am ,
Das Videolan-Projekt will CNA werden.
Das Videolan-Projekt will CNA werden. (Bild: Luke Jones/Flickr.com/CC-BY 2.0)

"Wie einige von euch vorgeschlagen haben, werden wir versuchen, unsere eigene CNA für VLC zu werden", schreibt das Videolan-Projekt auf seinem offiziellen Twitter-Account. CNA steht dabei für CVE Numbering Authority, dabei handelt es sich um Organisationen, die für ihre Produkte eigene CVE-Nummern vergeben können. Damit lassen sich Sicherheitslücken in Software durch ihre Hersteller eindeutig kennzeichnen.

Stellenmarkt
  1. IDS GmbH, Region Nord-/Ostdeutschland
  2. operational services GmbH & Co. KG, Braunschweig

Dass sich das Videolan-Projekt darum bemühen möchte, eine CNA zu werden, ist offenbar eine rein pragmatische Erwägung. Auf Twitter heißt es als Erklärung dazu: "Dies sollte Probleme wie das, das wir gerade hatten, vermeiden". In der vergangenen Woche warnten das Cert-Bund sowie die US-Behörde Nist vor einer vermeintlich extrem kritischen Sicherheitslücke im VLC-Player.

Viele verschiedene Medien haben diese Warnungen ungeprüft übernommen und sogar die Deinstallation des VLC-Players empfohlen. Dabei sind die Auswirkungen des tatsächlichen Fehlers wesentlich weniger schlimm, als die Behörden zunächst haben glauben lassen und das Videolan-Team hat den Fehler darüber hinaus bereits vor mehr als einem Jahr behoben. Das Nist und das Cert-Bund haben ihre Warnungen inzwischen korrigiert.

Eigene CVE-Nummern als Problemlösung

Das Videolan-Projekt schrieb zu dem Vorgang vergangene Woche außerdem, weder von den Behörden noch von der Organisation Mitre kontaktiert worden zu sein. Letztere vergibt die CVE-Nummern und führt eine Einstufung der Schwere einer Sicherheitslücke durch.

Als CNA könnte das Videolan-Projekt die Einstufung und Bewertung einer Sicherheitslücke in seiner eigenen Software selbst durchführen und damit völlig übertriebene Warnungen seitens der Behörden vermeiden. Das Projekt will dabei die CNA für den VLC-Player selbst sowie möglicherweise auch für einige weitere Multimediabibliotheken werden. Letzteres ist wichtig, da auch die vermeintliche Lücke nicht im VLC-Player selbst steckte, sondern in einer externen Abhängigkeit aus dem Matroska-Projekt.

Dass Open-Source-Projekte als CNA agieren, ist nichts Neues. In der Liste der CNAs finden sich etwa Debian, FreeBSD, die Document Foundation für Libreoffice, Kubernetes, PHP sowie auch kommerzielle Linux-Distributoren. Das Videolan-Projekt sollte also gute Chancen haben, künftig auch als CNA aufzutreten.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. (-8%) 45,99€
  2. 4,99€
  3. 59,99€
  4. (-10%) 17,99€

Naresea 30. Jul 2019

Es gibt eben gerade KEINE Sicherheitslücke im VLC selber. Die Lücke existiert in einer...


Folgen Sie uns
       


VW-Elektroautos aus Zwickau - Bericht

Der Volkswagen-Konzern will ab 2020 in Zwickau nur noch Elektroautos bauen - wir haben uns die Umstellung angesehen.

VW-Elektroautos aus Zwickau - Bericht Video aufrufen
Raumfahrt: Mehr Geld für die Raumfahrt reicht nicht aus
Raumfahrt
Mehr Geld für die Raumfahrt reicht nicht aus

Eine mögliche leichte Senkung des deutschen Beitrags zur Esa bringt nicht die Raumfahrt in Gefahr. Deren heutige Probleme sind Resultat von Fehlentscheidungen, die hohe Kosten und Ausgaben nach sich ziehen. Zuerst braucht es Reformen statt noch mehr Geld.
Ein IMHO von Frank Wunderlich-Pfeiffer

  1. Space Rider Neuer Anlauf für eine eigene europäische Raumfähre
  2. Vega Raketenabsturz lässt Fragen offen

Definitive Editon angespielt: Das Age of Empires 2 für Könige
Definitive Editon angespielt
Das Age of Empires 2 für Könige

Die 27 Einzelspielerkampagnen sollen für rund 200 Stunden Beschäftigung sorgen, dazu kommen Verbesserungen bei der Grafik und Bedienung sowie eine von Grund auf neu programmierte Gegner- oder Begleit-KI: Die Definitive Edition von Age of Empires 2 ist erhältlich.

  1. Microsoft Age of Empires 4 schickt Spieler ins Mittelalter

Kognitive Produktionssteuerung: Auf der Suche nach dem Universalroboter
Kognitive Produktionssteuerung
Auf der Suche nach dem Universalroboter

Roboter erledigen am Band jetzt schon viele Arbeiten. Allerdings müssen sie oft noch von Menschen kontrolliert und ihre Fehler ausgebessert werden. Wissenschaftler arbeiten daran, dass das in Zukunft nicht mehr so ist. Ziel ist ein selbstständig lernender Roboter für die Automobilindustrie.
Ein Bericht von Friedrich List

  1. Ocean Discovery X Prize Autonome Fraunhofer-Roboter erforschen die Tiefsee

    •  /