VideoLAN反击:VLC播放器远程代码执行漏洞早已修复

小帅帅 4883 0

之前我们报导过最新版本VLC媒体播放器被曝出存在严重的远程代码执行漏洞,根据德国网络安全机构CERT-Bund披露的消息,该漏洞同时存在于Windows、Linux与 Unix系统中,使得远程匿名攻击者可以执行任意代码、造成DoS条件,并且提取用户信息或操作文件。漏洞已被收录为 CVE-2019-13615,危险分值在满分10分制中达到了9.8。

7月24日VLC项目背后的公司 VideoLAN发推文表示这个安全问题没有外界所说那么严重,而且这个漏洞其实是存在于第三方库上的。

问题发生在名为libebml的第三方库中,并且已经在16个月前修复,VLC 3.0.3版本已经修复了该问题。

VideoLAN同时指责了最初“恶意”公开该漏洞的 @MITREcorp,VideoLAN称其使用的是Ubuntu 18.04操作系统,这是一个旧版本,并且显然没有更新所有库。

而不知出于什么原因,@MITREcorp在决定提交这个CVE的时候,并没有先告知VideoLAN,这直接违反了他们自己的政策。甚至“这其实不是@MITREcorp第一次这样做,事实上,当他们在VLC上发现安全问题时,他们永远不会联系我们,而且我们总是在他们公开之后,当用户或分销商询问我们时才发现问题。

目前在NVD中,VLC这个漏洞已经从 9.8分降级到5.5,VideoLAN的公共bug跟踪器中的相关条目也将问题标为已修复。

标签: 今日新鲜事

发表评论 (已有0条评论)

还木有评论哦,快来抢沙发吧~