Эксперты по кибербезопасности из команды CERT-Bund, правительственной группы реагирования на компьютерные инциденты в Германии, обнаружили критическую уязвимость в популярном кроссплатформенном медиапроигрывателе VLC Media Player, сообщает Threatpost.
Обнаруженная уязвимость может быть использована для удаленного выполнения произвольного кода, манипулирования файлами, просмотра конфиденциальной информации, а также может привести к состоянию отказа в обслуживании.
Злоумышленники могут осуществить атаку с помощью специально созданного видеофайла, помещенного в mkv-контейнер. Для отвода глаз ему можно, к примеру, придать расширение .mp4. Плеер VLC все равно воспримет его как файл .mkv и при его открытии подтянет соответствующий демультиплексор — тот, в коде которого и была выявлена ошибка.
Наличие проблемы подтверждено для последней сборки медиаплеера — 3.0.7.1. Уязвимость затрагивает версии приложения для Windows, Linux и UNIX. Информации о том, что версия для macOS также находится под угрозой, пока нет.
Компания-разработчик VideoLAN работает над созданием патча уже около месяца. Однако в настоящее время патч готов лишь на 60%.
Случаев использования этой уязвимости в атаках пока не зафиксировано. Вместе с тем, как отмечают эксперты, нельзя исключать, что после публикации вероятность эксплойта возрастет.
VLC Media Player — один из самых популярных медиаплееров в мире. Согласно официальной статистике на сайте компании-разработчика, медиаплеер скачали около 3 млрд раз для различных операционных систем и в различных версиях. VLC Media Player воспроизводит практически все форматы мультимедиа, имеет открытый исходный код и распространяется бесплатно.
