Hlavní navigace

Bezpečnostní chyby ve VLC umožňují zaútočit na počítač pomocí videa

24. 6. 2019

Sdílet

VLC

Dvě bezpečnostní chyby v populárním přehrávači videa VLC mohou ohrozit počítač, na kterém stačí přehrát upravené video. Bezpečnostní chyby (CVE-2019–5439 a CVE-2019–12874) jsou ve verzích starších než 3.0.7. Pro zneužití stačí uživateli podstrčit video ve formátu AVI či MKV, které po načtení způsobí přetečení zásobníku ve funkci ReadFrame ( demux/avi/avi.c) či chybu ve funkci zlib_decompress_extra() ( demux/mkv/utils.cpp). Poté může dojít k pádu prohlížeče či je možné nechat proběhnout libovolný kód.

Praktické zneužití je poměrně snadné, stačí po internetu šířit upravenou verzi populárních filmů, které si uživatelé stáhnou a pustí. Chyba je opravena ve verzi 3.0.7, proto neváhejte a aktualizujte. Součástí vydání je oprava dalších 28 menších chyb, které byly objeveny v rámci projektu hledajícího chyby.

Našli jste v článku chybu?
  • Aktualita je stará, nové názory již nelze přidávat.
  • 24. 6. 2019 21:52

    bez přezdívky

    Moze nieco taketo zachytit antivirus? Spustim film vo VLC a antivirus mi vypise, ze je to virus a zablokuje spustenie.
    Jak je mozne sa tomu branit okrem pravidelnej aktualizacie na linuxovych distrach? Napada ma SElinux a apparmor.

  • 24. 6. 2019 23:39

    Uncaught ReferenceError:

    antivirus to těžko pozná, buď by chyba musela mít jasný vzorec a šlo by jí snadno detekovat nebo by musel antivirus tyhle funkce simulovat a odchytávat přetečení dříve než na něj narazí VLC, což by mohlo být dost výpočetně náročné.

    Jedná se o spuštění neautorizovaného kódu s právy dané aplikace, řešením je tedy striktně omezit možnosti aplikace, obě jmenované technologie k tomu mohou pomoc, stejně tak spousty dalších technik, ale to již není snadné nastavit.

  • 25. 6. 2019 1:11

    Vít Šesták

    Jo. Ve výsledku pak snahy antivirů detekovat takto obecně zranitelnosti mohou být – zvlášť v kontextu systému, který máme pod kontrolou – spíše „because we can“ než něco užitečného. Detekovat zneužití konkrétní zranitelnosti je v principu možné, ale vyžaduje to reakci na konkrétní chybu. Praktičtější nakonec asi bude záplatovat VLC. Detekovat obecněji třeba buffer overflow by sice asi šlo, ale binárky zkompilované s vhodnými parametry mohou tuto funkci zastat možné i lépe.

  • 25. 6. 2019 11:15

    0xenon

    Dnešní CPUs podporují tzv. NX bit technologii. To v praxi znamená, že na HW úrovni se zajistí, že se zabrání spuštění kódu, který se nachází v datové části binárky a to zabraňuje útokům typu buffer overflow.

    Zapneš to v biosu. Intel to má pojmenovaný Disable execute bit. AMD nějak jinak. Neznamená to ale, že ti to aplikaci neshodí.

    25. 6. 2019, 11:18 editováno autorem komentáře

  • 25. 6. 2019 11:38

    0xenon

    Principiálně AV to odchytit může na základě signatur či heuristiky a jiných metod, ale v praxi 'on the fly' si nemyslím.
    Když vezmu v potaz, že by měl skenovat 1G soubor a nedej bože, jestli škodlivý kód je zabalený kodekem, kdy by se celý soubor musel dekomprimovat, tak ne. Max. si dokážu představit explicitní kontrolu u AV, který mají pro podporu. Hodně ale také záleží na typu útoku. Každopádně jak už tu padlo, tak cesta vede aktualizací SW.

Byl pro vás článek přínosný?

Autor zprávičky

Petr Krčmář pracuje jako šéfredaktor serveru Root.cz. Studoval počítače a média, takže je rozpolcen mezi dva obory. Snaží se dělat obojí, jak nejlépe umí.