CERT advierte de otra vulnerabilidad crítica en VLC

CERT-Bund ha alertado de una vulnerabilidad crítica en VLC. Aunque no se conoce por el momento malware que la explote, la Oficina Federal de Seguridad de la Información alemana la ha situado en el segundo nivel de advertencia y recomienda usar alternativas hasta que no llegue un parche que la mitigue.

VLC media player es una de las grandes referencias mundiales como reproductor y framework multimedia. Software libre y de código abierto, se distribuye bajo la licencia GPLv2.1+ y soporta múltiples sistemas operativos. Es usado por más de 200 millones de usuarios que aprecian ventajas como su capacidad para reproducir casi cualquier formato de vídeo sin necesidad de instalar códecs externos, audio y streaming.

Es uno de nuestros reproductores de medios favoritos en Windows y en Linux, pero no corren buenos tiempos para su desarrollo en el apartado de la seguridad, con varias vulnerabilidades (algunas muy graves) en los últimos meses.

La que nos ocupa se ha etiquetado como CVE-2019-13615 y permite una ejecución remota de código. «Un atacante anónimo puede explotar remotamente la vulnerabilidad para ejecutar código arbitrario, crear un estado de denegación de servicio, divulgar información o manipular archivos», señala el informe.

La vulnerabilidad crítica en VLC afecta a la última versión 3.0.7.1 (y anteriores) para Windows y Linux. VideoLAN es consciente del problema y actualmente está trabajando en un parche con fecha de lanzamiento desconocido. Por si quieres protegerte hasta que esté solucionado, las alternativas más interesantes son KMPlayer o Kodi.

Los desarrolladores están trabajando en la nueva versión mayor VLC 4.0 que ofrecerá grandes novedades especialmente en la interfaz, más moderna manteniendo la usabilidad y accesibilidad para Windows 10, GNOME o KDE Plasma. También aumentará el soporte para 3D y VR, vídeo de 360 grados y dispositivos Windows Media Reality, Vive, Oculus y PSVR a través de OpenHMD. Soporte para contenido de alto rango dinámico (HDR); para el servidor gráfico Linux, Wayland; el renderizado UPnP; salida AirPlay como ChromeCast o el protocolo de red SMB v2/3, son otras de las novedades. Esperemos también se refuerce la seguridad porque es uno de los mejores reproductores de medios, gratuito y de código abierto.

Actualización: los chicos de VideoLAN han publicado un tweet en el que explican todo el problema y comentan que «VLC no es vulnerable, el problema estaba en una biblioteca de terceros, llamada libebml, y fue resuelto hace más de 16 meses. VLC no presenta ese fallo de seguridad desde la versión 3.0.3».

About the «security issue» on #VLC : VLC is not vulnerable.
tl;dr: the issue is in a 3rd party library, called libebml, which was fixed more than 16 months ago.
VLC since version 3.0.3 has the correct version shipped, and @MITREcorp did not even check their claim.

Thread:

— VideoLAN (@videolan) July 24, 2019