Hlavní navigace

Bezpečnostní chyby ve VLC umožňují zaútočit na počítač pomocí videa

Sdílet

Petr Krčmář 24. 6. 2019
VLC

Dvě bezpečnostní chyby v populárním přehrávači videa VLC mohou ohrozit počítač, na kterém stačí přehrát upravené video. Bezpečnostní chyby (CVE-2019–5439 a CVE-2019–12874) jsou ve verzích starších než 3.0.7. Pro zneužití stačí uživateli podstrčit video ve formátu AVI či MKV, které po načtení způsobí přetečení zásobníku ve funkci ReadFrame ( demux/avi/avi.c) či chybu ve funkci zlib_decompress_extra() ( demux/mkv/utils.cpp). Poté může dojít k pádu prohlížeče či je možné nechat proběhnout libovolný kód.

Praktické zneužití je poměrně snadné, stačí po internetu šířit upravenou verzi populárních filmů, které si uživatelé stáhnou a pustí. Chyba je opravena ve verzi 3.0.7, proto neváhejte a aktualizujte. Součástí vydání je oprava dalších 28 menších chyb, které byly objeveny v rámci projektu hledajícího chyby.

Našli jste v článku chybu?
  • Aktualita je stará, nové názory již nelze přidávat.
  • 24. 6. 2019 21:52

    bez přezdívky

    Moze nieco taketo zachytit antivirus? Spustim film vo VLC a antivirus mi vypise, ze je to virus a zablokuje spustenie.
    Jak je mozne sa tomu branit okrem pravidelnej aktualizacie na linuxovych distrach? Napada ma SElinux a apparmor.

  • 24. 6. 2019 23:39

    ...

    antivirus to těžko pozná, buď by chyba musela mít jasný vzorec a šlo by jí snadno detekovat nebo by musel antivirus tyhle funkce simulovat a odchytávat přetečení dříve než na něj narazí VLC, což by mohlo být dost výpočetně náročné.

    Jedná se o spuštění neautorizovaného kódu s právy dané aplikace, řešením je tedy striktně omezit možnosti aplikace, obě jmenované technologie k tomu mohou pomoc, stejně tak spousty dalších technik, ale to již není snadné nastavit.

  • 25. 6. 2019 1:11

    Vít Šesták

    Jo. Ve výsledku pak snahy antivirů detekovat takto obecně zranitelnosti mohou být – zvlášť v kontextu systému, který máme pod kontrolou – spíše „because we can“ než něco užitečného. Detekovat zneužití konkrétní zranitelnosti je v principu možné, ale vyžaduje to reakci na konkrétní chybu. Praktičtější nakonec asi bude záplatovat VLC. Detekovat obecněji třeba buffer overflow by sice asi šlo, ale binárky zkompilované s vhodnými parametry mohou tuto funkci zastat možné i lépe.

  • 25. 6. 2019 11:15

    0xenon

    Dnešní CPUs podporují tzv. NX bit technologii. To v praxi znamená, že na HW úrovni se zajistí, že se zabrání spuštění kódu, který se nachází v datové části binárky a to zabraňuje útokům typu buffer overflow.

    Zapneš to v biosu. Intel to má pojmenovaný Disable execute bit. AMD nějak jinak. Neznamená to ale, že ti to aplikaci neshodí.

    25. 6. 2019, 11:18 editováno autorem komentáře

  • 25. 6. 2019 11:38

    0xenon

    Principiálně AV to odchytit může na základě signatur či heuristiky a jiných metod, ale v praxi 'on the fly' si nemyslím.
    Když vezmu v potaz, že by měl skenovat 1G soubor a nedej bože, jestli škodlivý kód je zabalený kodekem, kdy by se celý soubor musel dekomprimovat, tak ne. Max. si dokážu představit explicitní kontrolu u AV, který mají pro podporu. Hodně ale také záleží na typu útoku. Každopádně jak už tu padlo, tak cesta vede aktualizací SW.