Säkerhetshål i VLC Media Player – angrepp möjligt via infekterade videofiler

Gäller infektionen av VLC Media Player 3.0.7?

För jag uppdaterade via mjukvaran nyligen till 3.0.7.1

Står i slutet av artikeln.

Nja, inte riktigt. Så här grovt förenklat:

Det finns en bugg i avkodaren för en viss typ av video som gör att VLC fastnar i vinkelvolten och skriver på fel ställen i datorns minne. Vilket om man är lite smart gör att man kan köra kod.

Det handlar alltså om att utnyttja en bugg som gör det möjligt att göra något som ska vara omöjligt, nämligen att köra exekverbar skadlig kod bara genom att kolla på en videofil.

Men ja, alla datorprogram som på något sätt avkodar data som kommer utifrån kan vara känslig för denna sorters buggar. T.o.m. något så enkelt som Notepad i värsta fall.

Användes mycket innan men det var längesen.

Men det står ju inte spesifikt att detta hål blir täppt. Stort sett alla uppdateringar idag innehåller ju någon typ av säkerhetsuppdatering.

Skickades från m.sweclockers.com

"Lyckligtvis är det en brist som är lätt åtgärdad genom att helt enkelt uppdatera till den senaste versionen av VLC."

Där ja. Tack!

Skickades från m.sweclockers.com

störande.. siter fortfarande med version 2.2.8 eller något för alla versioner efter det har inte random playlist fungerar som det skall längre och utvecklarna verkar inte förstå problemet trotts att det blivit rapporterat över 100 gånger på deras forum.

Ajaj sitter även jag på en version 2.x.x då den senaste versionen jag testade förut hade massiv screen tearing av någon anledning samt helt felt storlek på vissa undertexter.

Jodå, uppdateringen från 3.0.7 till 3.0.7.1 kom direkt när jag startade VLC.
Provade även klicka bort den och sedan söka från Hjälp menyn och även då dök den upp.

Senaste versionen i Ubuntu 16.04's officiella repo är 2.2.2, och under 18.04 är det 3.0.4, undrar om dessa är en egna brancher som får detta säkerhetshål fixat

Vet inte om det kan skilja beroende på om man har 32 eller 64 bitars versionen, jag har iaf 64-bit.

Hmm och alla som sagt att VLC är den bästa mediaspelaren. :/

Har själv alltid använt MPC/MPC-BE.

Förhoppsningsvis har ingen här på SweC blivit infekterad!

Borde ju gå att köra denna exploit via en url också, dvs man behöver inte ladda ner video filen för att vara sårbar, utan det räcker med att klicka på en url. Då skippar den ju eventuella AV.

Personligen så föredrar jag mpv.

Det innebär inte att man inte har hittat liknande buggar till den.

Eller för den delen till MPC.

Gäller som alltid att hålla programmen på ens dator uppdaterade.

Det var länge sedan jag körde VLC nu, men testade nyligen i Linux. Undrar samtidigt hur det går med Winamp som skulle startas upp igen.

Är det bara jag som är optimistisk och tänker de lungt jag har premium Antivirus (malewerebytes premium) som kommer stoppa hackaren innan han kan göra nåt . Undra om spectre och meltdown gör saken ännu värre för intel användare?