Nincs kritikus hiba a VLC Playerben

VLC Player 3.0

Viszont nem csak a hibát jelentő félnél vannak gondok.

Az elmúlt napokban bejárta a techsajtót a hír, hogy az Egyesült Államok több kutatási és fejlesztési programján keresztül pénzelt MITRE nonprofit kritikus sebezhetőséget talált a VLC Playerben. A problléma leírása szerint a támadó fél egy különleges videofájl lejátszatásával távoli kódfuttatást érhet el az áldozat PC-jén.

VLC Player 3.0 Forrás: VideoLan

Az efféle beszámolók megjelenése után az szokott történni, hogy a fejlesztők rohamtempóban kijavítják a sebezhetőséget, és reménykednek benne, hogy a felhasználók minél gyorsabban frissítenek a szoftverük legújabb változatára. Rendhagyó módon most nem ez történt, a VLC fejlesztői ugyanis nem tudták reprodukálni a szoftver aktuális (3.0.7.1) verziójában a hibát.

For the record, the bug was in libebml 1.3.5. It was fixed in libebml 1.3.6 which was released on 2018-04-20. It is included in official VLC builds since 3.0.3. https://t.co/AzVU22E1TS

— Matroska.org (@MatroskaOrg) 2019. július 24.

Végül kiderült, hogy a többek közt a VLC által is használt libebml függvénykönyvtár egy régi verziójában volt a gond, de ezt a hibát tavaly áprilisban javították a fejlesztői. A VLC Player a 3.0.3-as verzió óta, azaz bő egy éve a komponens javított változatát használja, így a MITRE által beküldött, az USA sérülékenységeket számon tartó rendszerétől a CVE-2019-13615 azonosítót kapott hibajelentés alaptalan.

Nem világos, hogy mi folyik a MITRE-nél, de a VLC fejlesztői szerint nem ez az első eset, hogy a szervezet az iparban megszokott eljárástól eltérően nem értesíti őket a VLC-ben állítólag talált sebezhetőségről a nyilvánosságra hozása előtt.

Másrészt viszont valaki négy hete készített a sebezhetőségről egy hibajelentést a médialejátszó hibakövető rendszerében, de három nappal ezelőttig a VLC részéről érdemben senki sem foglalkozott vele. A sebezhetőségeket alapvetően nem a VLC normál hibakövető rendszerébe kell beküldeni, hanem egy dedikált e-mail-címen kell felvenni a kapcsolatot a fejlesztőkkel. A hibajegyet nyitott személy azt állítja, hogy ezt megtette, azonban senki nem reagált a levelére, ezért küldte be végül a nyilvános hibakövető rendszerbe az állítólagos hibát.

Úgy tűnik, hogy nem csak a MITRE-nél vannak gondok, de a VLC fejlesztői sincsenek a helyzet magaslatán: még ha tényleg nem is kaptak e-mailt,

jelen esetben akkor sem igaz, hogy a MITRE nem jelentette a hibát.

Ha szeretne még több érdekes techhírt olvasni, akkor kövesse az Origo Techbázis Facebook-oldalát, kattintson ide!