Vulnerabilidades en VLC Media Player

[razor]

Se han anunciado dos vulnerabilidades en el reproductor multimedia VLC Media Player (versiones 1.1.5 y anteriores), que podrían permitir a atacantes remotos lograr comprometer los sistemas que ejecuten este conocido programa.
VLC Media Player es un completo reproductor multimedia que soporta un gran número de formatos, como pueden ser: MP3, MPEG, DIVX, VCD o DVD entre otros, así como varios protocolos de streaming. Además está disponible para un amplio número de plataformas distintas como Windows, Mac OS X y para varias distribuciones de Linux. VLC también puede ser utilizado como servidor en unicast o multicast, en IPv4 o IPv6, para una red de banda ancha y tiene disponible un plug-in para Firefox que permite ver algunos archivos Quicktime y Windows Media desde páginas web sin necesidad de utilizar los reproductores de Apple o Microsoft.
Los problemas están provocados por errores en el indexado de matrices en las funciones "DecodeTileBlock()" y "DecodeScroll()" de modules/codec/cdg.c incluidas en el módulo decodificador CDG al procesar datos mal construidos. Un atacante remoto podría emplear estos fallos para lograr la ejecución de código arbitrario si consigue que un usuario reproduzca un archivo CD+G (CD+Graphics) o visite una página web específicamente creada. Se encuentra disponible una actualización, disponible vía GIT :
git.videolan.org Git - vlc.git/commit



Via: www.hispasec.com

 

[indy]

Si, hace un par de días que ha salido la versión 1.1.6, en la que entre otras cosas, se tapan agujeros en la seguridad del programa.

What's new in 1.1.6

Two months after VLC 1.1.5, and after mor than 58 million downloads of VLC 1.1.5, here is a minor release of VLC 1.1.6.

Introducing small features and fixing important bugs and a security issues, here is VLC 1.1.6.

* Security updates in codecs and demuxers
* Support for RTP/PCM 24bits, audio/L24
* Support for MPC SV7/SV8 on Windows and MacOS builds
* Faster Webm/VP8 decoding
* Support for Midi on MacOS
* Major updates in most language translations

* Support for projectM visualisation on Windows
* KDE and PulseAudio integration improvements
* Subtitles fixes and improvements
* Improvements in visualisations and interfaces
* Codecs updates
* Many miscellaneous fixes

Enlace: VideoLAN - VLC 1.1.6 release

Saludos!

 

[indy]

Pues aunque la versión 1.1.6 lanzada hace unos días tapaba algunos agujeros, no han tardado mucho en aparecer otros. Ahora lo que tenemos es un fallo de seguridad que implica el manejo de los archivos Mkv, permitiendo a un usuario malintencionado la ejecución de código si el usuario abre un Mkv corrupto. De momento a la espera de una nueva actualización.

Fuente: MuySeguridad