Erneutes Sicherheitsloch im VLC-Videoplayer [Update]

Noch gibt es keinen öffentlichen Fix für das letzte Sicherheitsproblem, schon taucht die nächste kritische Lücke im Player des VideoLAN-Projekts auf. Diesmal betrifft es die Behandlung von Multimedia-URLs mit mmst://. Öffnet der Anwender eine mmst-URL, die auf einen "bösen" Server verweist, kann dieser mit speziell präparierten Daten einen Pufferüberlauf auf dem Heap herbeiführen, der sich der Sicherheitsnotiz von Orange Bat zufolge ausnutzen lässt, um Code einzuschleusen und auszuführen.
In Tests von heise Security stürzte beim Öffnen einer derartigen mmts-URL sowohl die aktuelle Windows-Version VLC 0.8.6i als auch das Linux-Pendant 0.8.6e mit einer Speicherschutzverletzung ab, was die Existenz des Problems bestätigt. Die Entwickler wurden offenbar erst von Dritten über das Problem informiert und haben bereits einen Fix in die Versionsverwaltung eingepflegt. Wann ein diesbezügliches Update veröffentlicht wird, ist bislang nicht bekannt.

Update: Die VLC-Entwickler haben eine Sicherheitsnotiz zu den beiden Problemen veröffentlicht. Sie wurden in Version 0.9.1 behoben, die allerdings bisher nur als Quellcode verfügbar ist; für 0.8.6i gäbe es Quellcode-Patches in den Repositories. Auf die Frage warum es keine Binärpakete der 0.9er-Versionen gäbe, antwortete einer der Entwickler: "Die Win32-Packager sind einfach langsam."(Quelle:Heise.de)

• VLC 0.8.6i MMS Protocol Handling, Sicherheitsnotiz von Orange Bat