Vous n'avez pas encore de notification

Page d'accueil

Options d'affichage

Abonné

Actualités

Abonné

Des thèmes sont disponibles :

Thème de baseThème de baseThème sombreThème sombreThème yinyang clairThème yinyang clairThème yinyang sombreThème yinyang sombreThème orange mécanique clairThème orange mécanique clairThème orange mécanique sombreThème orange mécanique sombreThème rose clairThème rose clairThème rose sombreThème rose sombre

Vous n'êtes pas encore INpactien ?

Inscrivez-vous !
Des failles dans VLC permettaient de faire planter l'application ou d'exécuter du code

VideoLAN a publié un bulletin de sécurité pour des failles dans VLC 3.0.6 et versions antérieures. Il est indiqué qu'un « utilisateur distant peut créer des fichiers avi ou mkv spécialement conçus qui, lorsqu'ils sont chargés par l'utilisateur cible, vont provoquer un débordement de la mémoire tampon ».

Leur exploitation nécessite qu'un utilisateur « ouvre explicitement un fichier ou un flux spécialement conçu ». Dans la première version du bulletin, il était indiqué qu' « ASLR et DEP aident à réduire les risques, mais peuvent être contournés », mention qui a disparu. 

Le bulletin affirme que VLC 3.0.7 corrige ces failles, mais ce n'est pas tout. Lors de la mise à jour, une précision a été ajoutée : « Cette version corrige également un problème de sécurité important pouvant entraîner l'exécution de code lors de la lecture d'un fichier AAC ».

Il est, comme toujours, recommandé de mettre à jour le lecteur multimédia avec la dernière version disponible, la 3.0.7 en l'occurrence. Pour rappel, celle-ci corrige pas moins de 33 failles

14 commentaires
Avatar de jb Abonné
Avatar de jbjb- 24/06/19 à 09:16:56

Juste non.

Y a 30+ failles que on a corrigé en 3.0.7, et ces 2 failles là sont plutôt dans le bas/milieu du panier.

La seconde, c'est MITRE qui fume totalement, en mettant un 9.8 à un double-free. Oui, ça peut crasher, mais non, ce n'est pas exploitable du tout, avec l'ASLR (et le HeASLR en 64bits).

Y a une faille en 3.0.7 qui est high, mais clairement aucune de ces 2 là.

Avatar de anagrys Abonné
Avatar de anagrysanagrys- 24/06/19 à 09:38:36

La conclusion est la même : il faut mettre à jour sans traîner :D

Merci pour la précision, et pour le boulot sur le lecteur !

Avatar de jb Abonné
Avatar de jbjb- 24/06/19 à 09:42:27

Il faut toujours mettre à jour.

Avatar de anagrys Abonné
Avatar de anagrysanagrys- 24/06/19 à 09:51:55

bien sûr :-)

Petite question : vous utilisez des outils d'analyse de qualité de code pour identifier les éventuels problèmes ?

Avatar de jb Abonné
Avatar de jbjb- 24/06/19 à 09:54:32

Plein: statique, dynamique, code coverage, fuzzing.

Avatar de Transistance INpactien
Avatar de TransistanceTransistance- 24/06/19 à 10:01:36

jb a écrit :

Juste non.

Y a 30+ failles que on a corrigé en 3.0.7, et ces 2 failles là sont plutôt dans le bas/milieu du panier.

La seconde, c'est MITRE qui fume totalement, en mettant un 9.8 à un double-free. Oui, ça peut crasher, mais non, ce n'est pas exploitable du tout, avec l'ASLR (et le HeASLR en 64bits).

Y a une faille en 3.0.7 qui est high, mais clairement aucune de ces 2 là.

Du coup c'est quoi ? Une fake news ?

Avatar de jb Abonné
Avatar de jbjb- 24/06/19 à 10:21:01

non. Juste imprécise. Et c'est surtout parce qu'on arrive pas à discuter avec les gens de MITRE: on n'est pas assez gros pour avoir ce droit. Donc, c'est l'enfer à chaque faille...

Avatar de Wanto INpactien
Avatar de WantoWanto- 24/06/19 à 11:11:15

Heureusement qu'il y a MPC-HC.

Avatar de livvydun INpactien
Avatar de livvydunlivvydun- 24/06/19 à 11:39:14

:sm:

Avatar de tazvld Abonné
Avatar de tazvldtazvld- 24/06/19 à 12:07:47

Les vrais utilisent Windows Media Player avec les codecs qui vont bien.

Il n'est plus possible de commenter cette actualité.
Page 1 / 2