[MàJ 24/07] Après qu'une faille ait été reportée dans VLC, le lecteur multimédia crie à la fake news. En cause, non pas une vulnérabilité du programme mais un bug dans une librairie externe corrigée de longue date.
Finalement, VLC n'a pas eu besoin de corriger la faille rapportée. Sur Twitter, dans un long « thread » », l'équipe de VideoLAN revient sur cette information partie de la publication d'un rapport sur le bugtracker du logiciel. La vulnérabilité rapportée a par la suite été reprise par différents CERT, à commencer par le bundCERT allemand, puis par de nombreux médias, dont nous faisons partie. Mais cette faille n'affecte pas le programme, selon VLC.
En effet, la personne ayant rapporté la vulnérabilité utilisait une ancienne version d'Ubuntu, dont toutes les librairies n'étaient pas à jour. Or le bug est niché dans la librairie libEBML de Matroska (le fameux MKV dont il est question plus bas) et a été corrigé en avril 2018 dans sa version libebml-1.3.6. Une version que VLC explique avoir implémenté l'an dernier. « Fin de l'histoire: VLC n'est pas vulnérable, qu'il s'agisse de 3.0.7.1 ou même de 3.0.4. Le problème se trouve dans une bibliothèque tierce et a été corrigé dans la version 3.0.3 des binaires de VLC » indique Jean-Baptiste Kempf, président et contributeur majeur de VideoLAN.
VLC déplore dans son thread l'absence de contact avec MITRE, l'organisme attribuant les CVE, le CERT-bund ou encore le NIST américain, qui ont tous rapporté la faille avec un degré de sévérité critique. Ces derniers n'ont pas pour l'heure réagi et CVE-2019-13615 est toujours affichée comme affectant VLC. Le ticket ouvert sur le bugtracker a été clos plus tôt ce matin. Si on ne peut plus avoir confiance en nos sacro-saintes CVE...
-----------------------------------------------------
[Article original 23/07]Le lecteur multimédia est affligé d’une vulnérabilité critique de type débordement de la mémoire tampon. La troisième découverte en deux mois chez VLC. Un correctif est en cours de développement.
Nouvelle faille chez VLC, critique cette fois-ci. Le lecteur multimédia est fréquemment affecté par des vulnérabilités diverses et variées, mais depuis juin il s’agit du troisième « buffer overflow » détecté. Repérée cette semaine par le CERT allemand, CVE-2019-13615 se niche vraisemblablement dans le module permettant de démultiplexer (ou démuxer) un conteneur MKV (le format .mkv est un fichier multimédia au même titre que le .mp4 ou .avi).
Par dépassement de la mémoire tampon, cette vulnérabilité permet à un attaquant de mettre VLC en rade, d’y accéder à des informations ou encore d’exécuter du code à distance, quoique ce dernier point soit pour l’heure à confirmer. A priori, aucune exploitation de cette vulnérabilité n’a été découverte à ce jour.
Correction en cours
Selon le CERT, la complexité de l’attaque est faible et n’exige ni privilège ni interaction de l’utilisateur. L’attaquant n’aurait qu’à mettre au point un fichier spécialement conçu pour exploiter cette vulnérabilité. VideoLan travaille désormais à corriger cette faille qui affecte la version 3.0.7.1 de son programme. Une page dédiée rend compte de la progression de la correction du problème.
En attendant, il est déconseillé aux utilisateurs de VLC d’ouvrir des vidéos de provenance inconnue ou douteuse ou d’accéder à des ressources à distance. En juin, VLC recommandait en outre de désactiver ses plug-ins sur le navigateur.