VLC: vulnerabilità 'critica' scoperta, ma non disinstallatelo. Ecco cosa fare

Nelle ultime ore è stata diffusa una notizia abbastanza preoccupante per tutti gli utenti di VLC, il celeberrimo player multimediale disponibile su diverse piattaforme, sia desktop che mobile. Nel software sarebbe infatti presente una vulnerabilità sfruttabile con video realizzati ad-hoc attraverso la quale sarebbe possibile provocare un crash nel player o, nel caso più grave, consentire l'esecuzione di codice da remoto. Si tratterebbe, dunque, di una vulnerabilità di sicurezza gravissima all'interno di un software più che popolare.

La vicenda però non sembra essere così lineare, visto che dalla divulgazione della notizia (da parte di CERT Bund) sono arrivati diversi commenti. Jean-Baptiste Kempf, presidente di VideoLAN (lo sviluppatore alla base del media player) e responsabile dello sviluppo di VLC, ha rilasciato una serie di messaggi sull'argomento: "La vulnerabilità non provoca il crash su una release normale di VLC 3.0.7.1", per poi continuare in seguito definendo quella della fonte una "bufala". Il dirigente di VideoLAN, in un ulteriore commento, sottolinea inoltre che "il bug non è in qualche modo riproducibile su VLC, né lo manda in crash".

La stessa VideoLAN è intervenuta ufficialmente attraverso il canale ufficiale Twitter individuando con esattezza il problema: secondo l'azienda il "problema di sicurezza" è presente in una libreria di terze parti (libebml), ed è stato sistemato più di 16 mesi fa. VideoLAN ha aggiornato VLC con il fix a partire dalla versione 3.0.3. È possibile leggere tutto il commento dell'azienda su Twitter, insieme alle critiche nei confronti del modus operandi (reiterato) di MITRE che ha divulgato il CVE, e delle tecniche utilizzate per verificare il bug. L'azienda sottolinea pertanto che VLC non è vulnerabile.

Cosa fare quindi, se si è assidui utenti del media player di VideoLAN? Per essere sicuri di non avere una vulnerabilità nel proprio sistema è posisbile scaricare il video proof-of-concept pubblicato nella segnalazione originale del bug, lanciarlo con VLC e aspettare il crash. Secondo chi ha divulgato l'exploit il video manda in crash il player, ma secondo molte altre segnalazioni lanciando il file non avviene nulla (nel nostro caso infatti non abbiamo verificato alcun crash con l'ultima release di VLC, la 3.0.7.1).

Il bug dovrebbe inoltre coinvolgere solo i client VLC per Windows, Unix e Linux, e può essere sfruttato solo attraverso file .MKV, mentre chi usa macOS è totalmente al sicuro. Inoltre, il bug non sembra essere mai stato sfruttato attivamente nelle quattro settimane che dovrebbe essere rimasto attivo nel software. Insomma, sull'argomento ci sono visioni nettamente contrastanti, tuttavia se volete rimanere al sicuro al 100% in questo caso basta aggiornare, o non avere una versione di VLC più vecchia di 16 mesi.