VLC Media Player Update: Entwickler können keine Lücke feststellen
News folgenDeutsche Sicherheitsexperten warnten vor einer Sicherheitslücke im VLC Player: doch nach intensiven Suchen konnten die Entwickler keine finden. Der angebliche Fehler soll woanders liegen.
Update 25. Juli 2019:
Anfang der Woche warnte der CERT-Bund des Bundesamts für Sicherheit in der Informationstechnik vor einer Sicherheitslücke im VLC Media Player. Die Entwickler konnten laut eigenen Angaben aber keine Lücke feststellen und geben Entwarnung.
Wir benötigen Ihre Einwilligung, um den von unserer Redaktion eingebundenen X-Inhalt anzuzeigen. Sie können diesen (und damit auch alle weiteren X-Inhalte auf t-online.de) mit einem Klick anzeigen lassen und auch wieder deaktivieren.
Stattdessen soll sich die Sicherheitslücke in einer externen Bibliothek namens "libebml" befinden. Die Lücke sei aber schon vor 16 Monaten geschlossen worden. Der VLC Media Player werde seit Version 3.0.3 in der korrekten Version ausgeliefert.
Auf Twitter schreibt VideoLAN, die Entwicklerfirma vom VLC Media Player, dass der Finder der Lücke eine veraltete Unbuntu-Version mit veralteten Bibliotheken des VLC Media Players genutzt hatte. Zudem hatte der Finder VideoLAN nicht direkt über den Fund informiert.
Auf seiner Seite hat der CERT-Bund die Risikostufe der Lücke mittlerweile als "niedrig" eingestuft. Zuvor war sie als "Hoch" klassifiziert worden. Der CERT-Bund bezieht sich mit seiner Meldung auf die "National Vulnerability Database" der US-Regierung. Auch hier wird angegeben, dass die Meldung überarbeitet wurde und eine neue Analyse derzeit ausgeführt wird.
Ursprünglicher Artikel vom 22- Juli
Sicherheitsexperten vom CERT des Bundesamts für Sicherheit in der Informationstechnik (BSI) warnen derzeit vor einer Sicherheitslücke im VLC Media Player. Die Schwachstelle wird als "Hoch" eingestuft, dabei handelt es sich um die zweithöchste Risikostufe. Das schreibt der CERT-Bund auf seiner Seite.
Betroffen ist der VLC Media Player Version 3.0.7.1 für Windows-, Unix- und Linuxsysteme. Mithilfe der Sicherheitslücke können Angreifer einen beliebigen Programmcode ausführen, beispielsweise eine Schadsoftware. Zudem können sie laut dem CERT-Bund einen "Denial of Service"-Zustand herstellen, Informationen offenlegen oder Dateien manipulieren".
- Phishing: Verbraucherzentrale warnt vor falschen Telekom-Mails
- Krypto-Miner: Neue Betrugsmethode bedroht Internetnutzer
- Fragen und Antworten: Darum warnen Experten vor FaceApp
Die Lücke ist seit vier Wochen bekannt, ein Update, das die Schwachstelle schließt, gibt es aber noch nicht. Bisher sind keine Fälle bekannt, bei denen die Lücke ausgenutzt wurde. Wann ein Patch erscheint, ist unklar. Wer kein Risiko eingehen will, sollte bis zu einer Aktualisierung einen anderen Player verwenden.
