VLC-Sicherheitslücken: Manipulierte Streams können Speicherinhalte auslesen

Kommentare
1

VLC-Sicherheitslücken: Desktop-Computer mit geöffnetem VLC Media Player, davor eine zerfallende PNG-Datei mit digitalen Artefakten und sichtbaren Speicherfragmenten, im Hintergrund eine kompromittierte RTSP-Datenverbindung – fotorealistische Darstellung von Speicherkorruption und Datenlecks in düsterer Newsroom-Ästhetik.
VLC-Sicherheitslücken: Desktop-Computer mit geöffnetem VLC Media Player, davor eine zerfallende PNG-Datei mit digitalen Artefakten und sichtbaren Speicherfragmenten, im Hintergrund eine kompromittierte RTSP-Datenverbindung – fotorealistische Darstellung von Speicherkorruption und Datenlecks in düsterer Newsroom-Ästhetik.1376×768 149 KB

Kommentare zu folgendem Beitrag: VLC-Sicherheitslücken: Manipulierte Streams können Speicherinhalte auslesen

VLC-Sicherheitslücken gefährden Nutzer: Manipulierte PNGs können Codeausführung ermöglichen, RTSP-Antworten Speicherinhalte preisgeben.

1 „Gefällt mir“
2

Wer öffnet PNGs in einem Videoplayer? Mir würde nichtmal ein theoretisches Szenario einfallen, in dem das bei mir der Fall wäre. Höchstens aus Versehen per Drag and Drop?

2 „Gefällt mir“
3

dateiendung wählt automatisch die Anwendung aus

4

Naja, das stimmt zwar schon. Aber wer lässt seine Bilddateien freiwillig mit einem Video / Audio-Player öffnen?
Vielleicht jemand, der seine Suppe auch mit der Gabel isst…?!
:grin: :wink:

1 „Gefällt mir“
5

Du, möglich ist alles. Ich habe bei Einsteigern schon andere Sachen gesehen, die ich nicht für möglich hielt…

6

Möglich ist immer vieles!
:wink:
Aber hier sind wir wieder mal bei dem „Huhn & Ei - Prinzip“…

CVE-2026-73324

Bestimmte VLC Media Player-Versionen 3.0.0 bis 3.0.23 weisen eine Speichersicherheitslücke auf, die beim Abspielen von Medien aus einer vom Angreifer kontrollierten Netzwerkquelle ausgenutzt werden kann. Die Ausnutzung erfordert eine Benutzerinteraktion und kann eine begrenzte, layoutabhängige Menge an VLC-Prozessspeicher offenlegen. Die Offenlegung hängt von der Build-Konfiguration ab.

CVE-2026-56711

Die VLC Media Player-Versionen 3.0.0 bis 3.0.23 weisen eine Speichersicherheitslücke auf, die bei der Verarbeitung manipulierter Mediendateien ausgenutzt werden kann. Die Ausnutzung erfordert eine Benutzerinteraktion und kann zum Absturz der Anwendung oder zur Ausführung von Code mit den Berechtigungen des VLC-Prozesses führen.

Bei der ersten Lücke, muss der Hägga schon vorher Zugriff zum Opfer-System haben! IMO hat das Opfer schon vor der Ausnutzung der CVE ein Problem, was die Ausnutzung dieser speziellen Lücke wohl abschwächt…?

Das gleiche Bild ergibt sich m. M. n. auch bei der zweiten CVE…?

7

Einsteiger fummeln aber nicht an der Zuordnung von Dateitypen zu Anwendungen herum. Bilder werden default immer mit einem Bildbetrachter geöffnet, sogar unter Windows.

8

Ich käme niemals auf die Idee, mit VLC oder einer anderen App einen Stream außerhalb meines Intranets live aufzurufen. Schon gar keinen, zu dem mir ein Link zugespielt wurde (Spam, WhatsApp, …).