Schwachstelle gefährdet VLC Media Player

Auf Full Disclosure hat der Sicherheitsforscher Vetsel Hayas zwei Schwachstellen des VLC Media Player veröffentlicht. Betroffen sind offenbar nur einige Versionen der Software. Sie ermöglichen Speicherkorruption und die potenzielle Ausführung von beliebigen Codes. Dabei handelt es sich zum einen um eine Zugriffsverletzungs-Schwachstelle der Datenausführungsverhinderung (DEP) und zum anderen um einen Fehler bei Schreibzugriffen.

Bereits Ende November entdeckte Hayas die als schwer eingestuften Schwachstellen und meldete sie Ende Dezember dem VideoLAN-Project. Sie betreffen VLC Media Player 2.1.5 unter Windows XP SP3. Obwohl Microsoft dieses Betriebssystem nicht mehr unterstützt, ist es noch weit verbreitet. Da die Fehler im Player stecken, könnten auch andere Windows-Versionen und theoretisch sogar andere Betriebssysteme betroffen sein. 2.1.5 ist die aktuelle Version für Desktops.

Angreifer können die erste Schwachstelle mit einer präparierte FLV-Datei (Flash) ausnutzen. Für die zweite benötigen sie eine M2V-Datei (MPEG V2), um in den Speicher zu schreiben und Code auszuführen. Als Beleg hat Hayas einen Beispielcode bereitgestellt.

Das nicht kommerzielle VideoLAN-Project hat den VLC Media Player entwickelt. Er steht für eine Reihe von Plattformen zur Verfügung und unterstützt zahlreiche Formate, kann aber auch DVDs, Audio-CDs, VCDs und unterschiedliche Streaming-Protokolle verarbeiten.

2014 war für den VLC Media Player äußerst erfolgreich. Auf Kickstarter konnte genügend Geld gesammelt werden, um einen Ableger für die Kacheloberfläche von Windows 8 zu entwickeln. Im September erklärte das Projekt die Android-Version für Final. Zwar verschwand die Anwendung aus unbekannten Gründen im Herbst aus Apples App Store – vermutlich ging es um strittige Lizenzen – kehrte aber Anfang 2015 wieder zurück.

[mit Material von Florian Kalenda, ZDNet.de]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de