Zwei Pufferüberlaufschwachstellen im Medienspieler VLC, der in Versionen sowohl für Linux und Unix-Betriebssystemen als auch für Microsoft Windows verfügbar ist, erlauben es einem Angreifer, mittels einer präparierten TiVo Mediendatei beliebigen Programmcode auf dem beherbergenden System auszuführen. Eine weitere Pufferüberlaufschwachstelle kann mittels einer präparierten CUE-Datei ebenfalls zur Ausführung beliebigen Programmcodes auf dem beherbergenden System ausgenutzt werden.

Inhalt

• Betroffene Systeme
• Einfallstor
• Angriffsvoraussetzung
• Angriffsvektorklasse
• Auswirkung
• Typ der Verwundbarkeit
• Gefahrenpotential
• Beschreibung
• Gegenmaßnahmen
• Vulnerability ID
• Weitere Information zu diesem Thema
• Revisionen dieser Meldung

Betroffene Systeme

1. CVE-2008-4654:
   VLC media player der Versionen bis einschließlich 0.9.4
2. CVE-2008-4686:
   VLC media player der Versionen bis einschließlich 0.9.4 (aktualisiert)
3. VLC media player der Versionen bis einschließlich 0.9.5 (aktualisiert)

Nicht betroffene Systeme

1. CVE-2008-4654:
   VLC media player 0.9.6 (aktualisiert)
2. CVE-2008-4686:
   VLC media player 0.9.6 (aktualisiert)
3. VLC media player 0.9.6 (aktualisiert)

Einfallstor

1. CVE-2008-4654:
   präparierte TiVo (TY) Mediendatei
2. CVE-2008-4686:
   präparierte TiVo (TY) Mediendatei (aktualisiert)
3. präparierte Cuesheet (CUE) Datei z.B. beim Abspielen eines CD-ROM-Images (aktualisiert)

Angriffsvoraussetzung

1. CVE-2008-4654:
   Benutzerinteraktion -- ein Benutzer eines betroffenen Systems muss eine entsprechende TiVo-Datei im VLC Medienspieler betrachten. Diese kann z.B. über eine Webseite auf das betroffene System gelangen, die eine solche Datei bereitstellt.
   (user interaction)
2. CVE-2008-4686:
   Benutzerinteraktion -- ein Benutzer eines betroffenen Systems muss eine entsprechende TiVo-Datei im VLC Medienspieler betrachten. Diese kann z.B. über eine Webseite auf das betroffene System gelangen, die eine solche Datei bereitstellt.
   (user interaction) (aktualisiert)
3. Benutzerinteraktion -- ein Benutzer eines betroffenen Systems muss ein entsprechendes CD-ROM-Image mit einer entsprechend präparierten CUE-Datei im VLC Medienspieler abspielen. Dieses kann z.B. über eine E-Mail-Nachricht oder eine Webseite, die eine solche Datei bereitstellt, auf das betroffene System gelangen.
   (user interaction) (aktualisiert)

Angriffsvektorklasse

1. CVE-2008-4654:
   über eine Netzwerkverbindung (sofern die Datei dem Opfer per E-Mail oder über eine Webseite zugeleitet wird)
   (remote)
2. CVE-2008-4686:
   über eine Netzwerkverbindung (sofern die Datei dem Opfer per E-Mail oder über eine Webseite zugeleitet wird) (aktualisiert)
   (remote)
3. über eine Netzwerkverbindung (sofern die Datei dem Opfer per E-Mail oder über eine Webseite zugeleitet wird) (aktualisiert)
   (remote)

Auswirkung

1. CVE-2008-4654:
   Ausführung beliebigen Programmcodes auf dem beherbergenden Rechnersystem mit den Privilegien des VLC-Prozesses
   (user compromise)
2. CVE-2008-4686:
   Ausführung beliebigen Programmcodes auf dem beherbergenden Rechnersystem mit den Privilegien des VLC-Prozesses
   (user compromise) (aktualisiert)
3. Ausführung beliebigen Programmcodes auf dem beherbergenden Rechnersystem mit den Privilegien des VLC-Prozesses
   (user compromise) (aktualisiert)

Typ der Verwundbarkeit

1. CVE-2008-4654:
   Pufferüberlaufschwachstelle
   (buffer overflow bug)
2. CVE-2008-4686:
   Pufferüberlaufschwachstelle
   (buffer overflow bug) (aktualisiert)
3. Pufferüberlaufschwachstelle
   (buffer overflow bug) (aktualisiert)

Gefahrenpotential

1. CVE-2008-4654:
   hoch
2. CVE-2008-4686:
   hoch (aktualisiert)
3. hoch (aktualisiert)

Beschreibung

1. CVE-2008-4654:
   Eine Pufferüberlaufschwachstelle im stark verbreiteten, quelloffenen VLC media player kann von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode auf dem beherbergenden Rechnersystem mit den Privilegien des VLC-Prozesses auszuführen. Zur erfolgreichen Ausnutzung ist es erforderlich, dass der Angreifer einen Benutzer auf einem betroffenen System dazu bringt, eine entsprechend präparierte TiVo Mediendatei mittels des VLC media players zu betrachten.
2. CVE-2008-4686:
   Eine Pufferüberlaufschwachstelle VLC media player kann von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode auf dem beherbergenden Rechnersystem mit den Privilegien des VLC-Prozesses auszuführen. Zur erfolgreichen Ausnutzung ist es erforderlich, dass der Angreifer einen Benutzer auf einem betroffenen System dazu bringt, eine entsprechend präparierte TiVo Mediendatei mittels des VLC media players zu betrachten. (aktualisiert)
3. Eine Pufferüberlaufschwachstelle VLC media player kann von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode auf dem beherbergenden Rechnersystem mit den Privilegien des VLC-Prozesses auszuführen. Zur erfolgreichen Ausnutzung ist es erforderlich, dass der Angreifer einen Benutzer auf einem betroffenen System dazu bringt, eine entsprechend präparierte Cuesheet (CUE) Datei mit VLC bearbeitet. Dies kann z.B. beim Abspielen eines CD-ROM-Images geschehen. (aktualisiert)

Workaround

1. CVE-2008-4654:
   Deinstallation des TY Demuxers, z.B. durch Löschung, Umbenennung oder Unlesbarmachung der Datei libty_plugin.* aus dem VLC-Installationsverzeichnis.
   Unter Linux ist dies z.B. die Datei

   /usr/lib/vlc/demux/libty_plugin.so.

   Unter Windows XP ist diese Datei standardmäßig unter

   C:\Programme\VideoLAN\VLC\plugins\libty_plugin.dll

   installiert.
2. CVE-2008-4686:
   Deinstallation des TY Demuxers, z.B. durch Löschung, Umbenennung oder Unlesbarmachung der Datei libty_plugin.* aus dem VLC-Installationsverzeichnis.
   Unter Linux ist dies z.B. die Datei

   /usr/lib/vlc/demux/libty_plugin.so.

   Unter Windows XP ist diese Datei standardmäßig unter

   C:\Programme\VideoLAN\VLC\plugins\libty_plugin.dll

   installiert. (aktualisiert)
3. Deinstallation des VCD Plugin sowie des Subtitles plugin, z.B. durch Löschung, Umbenennung oder Unlesbarmachung der Dateien libvcd_plugin.* und libsubtitle_plugin.* aus dem VLC-Installationsverzeichnis.
   Unter Linux sind dies z.B. die Dateien

   /usr/lib/vlc/access/libvcd_plugin.so.

   und

   /usr/lib/vlc/demux/libsubtitle_plugin.so.

   Unter Windows XP sind diese Dateien standardmäßig unter

   C:\Programme\VideoLAN\VLC\plugins\libvcd_plugin.dll

   und

   C:\Programme\VideoLAN\VLC\plugins\libsubtitle_plugin.dll

   installiert.
   Diese Maßnahmen führen dazu, dass weder Video CDs abgespielt noch Untertitel verwendet werden können. (aktualisiert)

Gegenmaßnahmen

1. CVE-2008-4654:
   Installation von VLC media player 0.9.6 (aktualisiert)
2. CVE-2008-4686:
   Installation von VLC media player 0.9.6 (aktualisiert)
3. Installation von VLC media player 0.9.6 (aktualisiert)

Vulnerability ID

1. CVE-2008-4654
2. CVE-2008-4686
3. Bislang wurde für diese Schwachstelle noch kein CVE-Name vergeben

Weitere Information zu diesem Thema

1. CVE-2008-4654:
   VideoLAN Security Advisory 0809
2. CVE-2008-4686:
   git.videolan.org / vlc.git / commitdiff: Fix some integer overflows and a stupid memset() invocation (aktualisiert)
3. • VideoLAN: Security Advisory 0810 (aktualisiert)
4. [TKADV2008-012] VLC media player cue Processing Stack Overflow Vulnerability (aktualisiert)

Revisionen dieser Meldung

• V 1.0 (2008-10-22)
• V 1.1 (2008-10-23)
  • CVE-Name im Abschnitt Vulnerability ID hinzugefügt
• V 1.2 (2008-11-06)
  • Meldung aktualisiert (UPDATE):
    • Information zu zwei weiteren Schwachstellen hinzugefügt
    • Insbesondere wurde im Abschnitt Gegenmaßnahmen die Empfehlung, VLC 0.9.5 zu installieren, ersetzt durch die Empfehlung, VLC 0.9.6 zu installieren. VLC 0.9.6 behebt alle beschriebenen Schwachstellen.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/