[NEWS] VLC Media Player MP4 Demuxer Arbitrary Memory Overwrite

c.m.g · 27-02-2008, 10:03

27 febbraio 2008

La società di sicurezza Secunia ha riportato un advisory (SA29122) in cui si spiega che è stata trovata una vulnerabilità in VLC media player 0.x, giudicata dalla stessa come Highly critical, che potrebbe essere sfruttata da malintenzionati per compromettere il sistema di un untente ignaro.

Il bug causerebbe una sovrascrittura arbitraria della memoria con dei file MPEG-4 creati ad hoc grazie ad un errore di gestione dell'MP4 demuxer (modules/demux/mp4/mp4.c).

Lo sfruttamento con successo du questo bug potrebbe portare all'esecuzione di codice arbitrario (presumibilmente malevolo) sulla macchina che esegue questo software.

La vulnerabilità è stata confermata nelle versioni antecedenti la 0.8.6d ma non si esclude che anche altre versioni siano affette.

Soluzione:
Applicare la patch del produttore:
http://www.videolan.org/patches/vlc-...008-0130.patch

La software house riporta anche che uscirà presto una nuova versione che correggerò definitivamente questa vulnerabilità.
Comunque si raccomanda di non aprire file e navigare in siti di dubbia provenienza.

Advisory d'origine:
VideoLAN:
http://www.videolan.org/security/sa0802.html

Fonte: Secunia

c.m.g · 28-02-2008, 08:02

ripreso anche da security focus:

http://www.securityfocus.com/bid/28007

27-02-2008, 10:03	#1
c.m.g Senior Member Iscritto dal: Mar 2006 Messaggi: 22121	[NEWS] VLC Media Player MP4 Demuxer Arbitrary Memory Overwrite 27 febbraio 2008 La società di sicurezza Secunia ha riportato un advisory (SA29122) in cui si spiega che è stata trovata una vulnerabilità in VLC media player 0.x, giudicata dalla stessa come Highly critical, che potrebbe essere sfruttata da malintenzionati per compromettere il sistema di un untente ignaro. Il bug causerebbe una sovrascrittura arbitraria della memoria con dei file MPEG-4 creati ad hoc grazie ad un errore di gestione dell'MP4 demuxer (modules/demux/mp4/mp4.c). Lo sfruttamento con successo du questo bug potrebbe portare all'esecuzione di codice arbitrario (presumibilmente malevolo) sulla macchina che esegue questo software. La vulnerabilità è stata confermata nelle versioni antecedenti la 0.8.6d ma non si esclude che anche altre versioni siano affette. Soluzione: Applicare la patch del produttore: http://www.videolan.org/patches/vlc-...008-0130.patch La software house riporta anche che uscirà presto una nuova versione che correggerò definitivamente questa vulnerabilità. Comunque si raccomanda di non aprire file e navigare in siti di dubbia provenienza. Advisory d'origine: VideoLAN: http://www.videolan.org/security/sa0802.html Fonte: Secunia __________________ Questa opera è distribuita secondo le regole di licenza Creative Commons salvo diversa indicazione. Chiunque volesse citare il contenuto di questo post deve necessariamente riportare il link originario.

28-02-2008, 08:02	#2
c.m.g Senior Member Iscritto dal: Mar 2006 Messaggi: 22121	ripreso anche da security focus: http://www.securityfocus.com/bid/28007 __________________ Questa opera è distribuita secondo le regole di licenza Creative Commons salvo diversa indicazione. Chiunque volesse citare il contenuto di questo post deve necessariamente riportare il link originario.

Strumenti
Mostra una versione stampabile Invia questa pagina per email