Το VLC media player έχει δύο high-risk security flaws στις εκδόσεις λογισμικού 3.0.6 και παλαιότερες που επιτρέπουν στους hackers να φορτώσουν ειδικά επεξεργασμένα αρχεία βίντεο στο ευάλωτο σύστημα για να εκτελέσουν αυθαίρετο κώδικα.
Για όσους δεν γνωρίζουν, η συσκευή αναπαραγωγής πολυμέσων VLC είναι ένας από τους καλύτερους και πιο δημοφιλείς media players με πάνω από 3 δισεκατομμύρια λήψεις.
Πρόκειται για μια ελεύθερη και open source πλατφόρμα που μπορεί να χρησιμοποιηθεί σε Windows, MacOS, Linux, καθώς και σε κινητές πλατφόρμες Android και iOS. Όποια και αν είναι η μορφή, το VLC Media Player μπορεί να παίξει σχεδόν οποιοδήποτε είδος ήχου και βίντεο που θέλετε.
Η ευπάθεια ονομάζεται CVE-2019-12874 και βρίσκεται στη λειτουργία “zlib_decompress_extra () (demux / mkv / utils.cpp)” του VideoLAN VLC Player. Μπορεί να ενεργοποιηθεί κατά την ανίχνευση ενός ελαττωματικού τύπου αρχείου mkv στο demuxer του Matroska.
Εντοπίστηκε και ένα δεύτερο high-risk flaw που ονομάζεται CVE-2019-5439 και, στην ουσία, αποτελεί ένα buffer overflow vulnerability που βρίσκεται στο ReadFrame (demux / avi / avi.c).
Επιτρέπει σε έναν απομακρυσμένο χρήστη να δημιουργήσει μερικά ειδικά διαμορφωμένα αρχεία avi ή mkv τα οποία, όταν φορτωθούν από τον χρήστη-στόχο, θα ενεργοποιήσουν ένα buffer overflow.
Η επιτυχής εκτέλεση ενός μολυσμένου αρχείου στο σύστημα θα μπορούσε να προκαλέσει είτε μια συντριβή του VLC είτε μια αυθαίρετη εκτέλεση κώδικα με τα προνόμια του χρήστη-στόχου.
Ένας δυνητικός εισβολέας μπορεί να εκμεταλλευτεί αυτές τις ευπάθειες εξαπατώντας τον χρήστη να ανοίξει ένα ειδικά κατασκευασμένο κακόβουλο MKV ή AVI video file.
Οι χρήστες VLC συνιστώνται θερμά να αναβαθμίσουν το media player software στην VLC 3.0.7 έκδοση ή σε νεότερες, για να αποτρέψουν τους hackers να εκμεταλλευτούν αυτήν την ευπάθεια στα συστήματά τους.
