Sie sind hier: Home » Aktuelle Meldungen » Meldung
Meldung Nr: RUS-CERT-1384

[Generic/VLC Media Player] Schwachstelle im VLC Media Player
(2007-06-20 15:24:57.70008+00) Druckversion

Quelle: http://www.videolan.org/sa0702.html

Eine Format-String-Schwachstelle im populären VideoLAN VLC Media Player kann durch das Abspielen einer entsprechend präparierten Medien-Datei dazu ausgenutzt werden, beliebigen Programmcode auf dem beherbergenden Rechnersystem mit den Privilegien des den VLC Media Player aufrufenden Benutzers auszuführen.

Betroffene Systeme

  • VideoLAN VLC Media Player 0.8.6b und frühere Versionen

Nicht betroffene Systeme

  • VideoLAN VLC Media Player 0.8.6c

Einfallstor
Entsprechend präparierte

die beispielsweise über eine Webseite oder eine E-Mail-Nachricht den angegriffenen Benutzer erreicht.

Angriffsvoraussetzungen

  • Benutzerinteraktion (user interaction)
Ein Benutzer muss eine entsprechende Mediendatei mittels einer verwundbaren Version VLC Media Players abgespielt werden. Dies kann in einer typischen Konfiguration in sofern automatisch erfolgen, als dass der VLC Media Player als voreingestellte Applikation zum Öffnen von Mediendateien konfiguriert werden kann. So kann der Player automatisch gestartet werden, wenn eine E-Mail-Nachricht oder eine Webseite eine entsprechende Datei enthält.

Angriffsvektorklasse
mittelbar über eine Netzwerkverbindung
(mediately remote)

Auswirkung
Ausführung beliebigen Programmcodes auf dem beherbergenden Rechnersystem mit den Privilegien des VLC-Benutzers
(user compromise)

Typ der Verwundbarkeit
format string vulnerability

Gefahrenpotential
hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Eine Format-String-Schwachstelle in den Plugins für Ogg Vorbis, Ogg Theora, SAP (Service Announcement Protocol) und Digital-Audio-CD-Dateien der populären und auf vielen Plattformen einsetzbaren Multimedia-Applikation VideoLAN VLC Media Player kann von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode auf dem beherbergenden Rechnersystem mit den Privilegien des VLC-Prozesses auszuführen. Dies sind im Allgemeinen die Privilegien des Benutzers, der den VLC Media Player aufruft. Sofern der Benutzer administrative Privilegien besitzt, kann die Schwachstelle zur Kompromittierung des beherbergenden Rechnersystems ausgenutzt werden.

Um die Schwachstelle erfolgreich auszunutzen, muss ein Angreifer einen Benutzer des angegriffenen Systems dazu veranlassen, eine entsprechend präparierte Mediendatei mittels des VLC Media Players zu öffnen.

In typischen Konfigurationen kann z.B. in Browsern oder E-Mail-Programmen eine Applikation einem bestimmten Dateiformat zugeordnet werden, so dass diese automatisch startet, wenn man eine solche Datei öffnet oder empfängt, bzw. wenn sie in eine Webseite eingebunden ist. In einer solchen Konfiguration, bei der der VLC Media Player den entsprechenden Mediendateien zugeordnet ist, würde das (automatische) Öffnen bzw. Empfangen einer entsprechend präparierten Datei durch einen Benutzer ausreichen, die Schwachstelle erfolgreich auszunutzen.

Workaround
Deinstallation der verwundbaren Plugins:

  • Microsoft Windows:
    • libvorbis_plugin.dll
    • libtheora_plugin.dll
    • libcdda_plugin.dll
    Jeweils in den entsprechenden Installations- oder Plugin-Verzeichnissen.
  • Apple MacOS X:
    • libvorbis_plugin.dylib
    • libtheora_plugin.dylib
    • libcdda_plugin.dylib
    Jeweils in den entsprechenden Installations- oder Plugin-Verzeichnissen, üblicherweise /Applications/VLC.app/Contents/MacOS/modules/.
  • BSD-Derivate, Linux und Unix-Varianten:
    • /usr{/local}/lib/vlc/codec/libvorbis_plugin.so
    • /usr{/local}/lib/vlc/codec/libtheora_plugin.so
    • /usr{/local}/lib/vlc/access/libcdda_plugin.so
Hier ist zu beachten, dass die entsprechenden Dateiformate dann mit dem VLC Media Player nicht mehr abzuspielen sind.

Gegenmaßnahmen

Vulnerability ID

Weitere Information zu diesem Thema

Revisionen dieser Meldung

  • V 1.0 (2007-06-20)
  • V 1.1 (2007-06-27)
    • CVE-Name hinzugefügt

(og)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2017 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/

Vorherige Meldung Weitere Meldungen... Nächste Meldung

Bitte lesen Sie auch die Grundsätze, nach denen das RUS-CERT Tickermeldungen veröffentlicht. Der regelmäßige Bezug von Tickermeldungen über E-Mail und RSS-Feed ist ebenfalls möglich.