【PCセキュリティ】一部メディアが報ずる「VLC media player」の致命的な脆弱性は誤り ～VideoLANが声明

[1 へっぽこ立て子＠エリオット ★ 2019/07/25(木) 12:27:17.81 ID:CAP_USER]

（軽く調べてみましたが、脆弱性が見つかったとしてアンインストールを推奨する記事は大手でもかなりありますが、訂正記事を出しているところはまだ見あたらないようです。よってこの記事の真偽は各個人で判断して下さい）

https://forest.watch.impress.co.jp/img/wf/docs/1197/998/image1.jpg
VideoLAN公式の“Twitter”アカウント

　仏VideoLAN Projectは7月24日（現地時間）、一部メディアで報じられている「VLC media player」の致命的な脆弱性について、公式の“Twitter”アカウントで声明を発表した。報道は誤りであり、すでに修正されているものであるという。

　開発チームによると、報じられている脆弱性は「libebml」と呼ばれるサードパーティー製ライブラリに起因するもので、16カ月以上前にすでに修正されている。「VLC」でもv3.0.3から修正されており、報告された問題は再現できなかったとのこと。報告者は古い「Ubuntu 18.04」を利用しており、ライブラリが適切にアップデートされていなかったようだ。

　しかし、この未検証の脆弱性はMITREにも通報され、開発チームに知らされないうちに“CVE-2019-13615”として登録されたという。当初、この脆弱性は“CVSS v3.0”の基本値で“9.8”と評価されており、米Gizmodoなど一部メディアはそれらを根拠に「VLC」のWindows/Linux/Unix版にはリモートコード実行（RCE）の危険があるとして、アンインストールを推奨していた（執筆時現在、“CVSS v3.0”の基本値は“5.5”に改められている）。実際のところ、今回指摘されたヒープベースのバッファーオーバーリードが「VLC」でリモートコード実行（RCE）にまで発展することはほぼないようだ。

　「VLC」の開発チームは、今回のような事例は初めてではないとして、CVEの管理方法を強く批判している。


https://twitter.com/videolan/status/1153963312981389312
@videolan
About the "security issue" on #VLC : VLC is not vulnerable.
tl;dr: the issue is in a 3rd party library, called libebml, which was fixed more than 16 months ago.
VLC since version 3.0.3 has the correct version shipped, and @MITREcorp did not even check their claim.


関連リンク
VLC: オフィシャルサイト - すべてのOSにフリーなマルチメディアソリューションを! - VideoLAN
https://www.videolan.org/
「VLC media player」定番の無料メディアプレイヤー - 窓の杜
https://forest.watch.impress.co.jp/library/software/vlcmedia_ply/

2019年7月25日 08:00
窓の杜
https://forest.watch.impress.co.jp/docs/news/1197998.html
https://twitter.com/5chan_nel (5ch newer account)

[2 名刺は切らしておりまして 2019/07/25(木) 12:36:27.30 ID:byGr8Jq7]

ubuntuだとヤバいんか

[3 名刺は切らしておりまして 2019/07/25(木) 12:40:35.99 ID:GL4Ca7bz]

ウイルスソフトなしでubuntu使ってていい？

[4 名刺は切らしておりまして 2019/07/25(木) 12:42:28.46 ID:614UFNXN]

> 報告者は古い「Ubuntu 18.04」を利用しており
こんなレベルのやつが報告してるのか...

[5 名刺は切らしておりまして 2019/07/25(木) 12:51:23.28 ID:29p2/Cor]

Windows10とAndroidに入れてるわ
mp4にエンコしたDVD再生に超便利

[6 名刺は切らしておりまして 2019/07/25(木) 12:54:47.14 ID:bst3UxyK]

このニュースで知ってVLC使い始めた
使いやすいね
☆5つ

[7 名刺は切らしておりまして 2019/07/25(木) 12:57:25.07 ID:29p2/Cor]

ABリピートも便利だよね
エロ動画のフィニッシュ抜きシーンをピンポイントでリピートできる

[8 名刺は切らしておりまして 2019/07/25(木) 13:01:01.72 ID:O5cYMofw]

変なデータ収集を避けるにはこれ一択だからな

[9 名刺は切らしておりまして 2019/07/25(木) 13:06:11.00 ID:r1lnL4jF]

あのアイコンが気に食わない。

[10 名刺は切らしておりまして 2019/07/25(木) 13:08:41.57 ID:MimFEZEf]

アイコンがダサい

[11 名刺は切らしておりまして 2019/07/25(木) 13:08:47.95 ID:GeugO4HC]

ポータブルバージョン使ってる場合は関係ないな

[12 名刺は切らしておりまして 2019/07/25(木) 13:12:08.75 ID:eERJcxaE]

こっわ
定評のあるGOMPlayerに乗り換えるわ

[13 名刺は切らしておりまして 2019/07/25(木) 13:13:30.94 ID:cBzoamBQ]

そんなことより、Windows10のJavaの更新で、スクリプトエラーが出るのを
早く治してほしい。

[14 名刺は切らしておりまして 2019/07/25(木) 13:14:10.52 ID:bst3UxyK]

>>7
こんな機能もあるのか！拡張コントロールってやつな
サンキュー

[15 名刺は切らしておりまして 2019/07/25(木) 13:14:12.19 ID:cBzoamBQ]

>>12
韓国製の奴ね

[16 名刺は切らしておりまして 2019/07/25(木) 13:14:32.94 ID:GeugO4HC]

>>12
バカチョン製でスパイウェアと判明して大騒ぎになったのによくそんなもの使えるな（笑）

[17 名刺は切らしておりまして 2019/07/25(木) 13:22:11.66 ID:ASPsCjQF]

フリーソフトなんてウイルス上等でみんな使ってるもんだと思ってたわ

[18 名刺は切らしておりまして 2019/07/25(木) 13:28:57.85 ID:XtPtw1qz]

VLCはAppleTVにAirPlayできるから使ってる

[19 名刺は切らしておりまして 2019/07/25(木) 13:31:07.77 ID:15x5vm5f]

>>2
ubutuだろうが、Windowsだろうが一年以上パッチも当てずに放置すれば、そりゃセキュリティ的には弱くなる。

[20 名刺は切らしておりまして 2019/07/25(木) 13:32:53.51 ID:B12M8fzD]

ISOを標準で普通に再生できるフリーソフトって他あったか？

[21 名刺は切らしておりまして 2019/07/25(木) 13:40:19.60 ID:/ETLD/ZA]

>>7>>14
ABリピートあったんだ　やっと見つけたｔｈｘ

[22 名刺は切らしておりまして 2019/07/25(木) 13:45:18.08 ID:AhIr5w0B]

使う時はネット接続する必要はないソフトなのにセキュリティに問題があるのか…
とするとロータス123みたいにアプデされてないソフトを使うのは危険ってことなのかな？

[23 名刺は切らしておりまして 2019/07/25(木) 13:54:17.66 ID:B4lZkQE4]

マウスジェスチャ標準で付いてるのgom以外になんかない？

[24 名刺は切らしておりまして 2019/07/25(木) 13:54:46.16 ID:3lzOuvU/]

>>3
安直なユーザーが増えてきてしまったので
今ではもはやそうとはいいきれない

残念なことにドザからの流入で増えたユーザー数は
クラッカーの攻撃対象にふさわしいようだ

[25 名刺は切らしておりまして 2019/07/25(木) 13:59:22.02 ID:aiAfC1Nv]

mpv media playerはどうなん？

[26 名刺は切らしておりまして 2019/07/25(木) 14:06:07.41 ID:zOyWdUJq]

特定のバージョンで脆弱性があることを報告するものだから、
18.04について報告することは問題じゃない

よーな気がしたが、

なんだ報告が遅いし、開発者に通知しないって
どういうことなんだろうねー（白目

[27 名刺は切らしておりまして 2019/07/25(木) 15:00:54.64 ID:dKjN493T]

GOM陣営による攪乱作戦だったか

[28 名刺は切らしておりまして 2019/07/25(木) 15:09:13.87 ID:+hJsmZcx]

磯読み込めるのコレ？

[29 名刺は切らしておりまして 2019/07/25(木) 15:28:03.55 ID:OD7ziWXC]

なにで稼いでるんだ？

[30 名刺は切らしておりまして 2019/07/25(木) 15:29:44.48 ID:JmfQq7rw]

>>4
LTSなんだから、そこは問題じゃない

[31 名刺は切らしておりまして 2019/07/25(木) 15:30:32.48 ID:2zxpuQ6a]

>>3
ウイルス入れるの？

[32 名刺は切らしておりまして 2019/07/25(木) 15:51:05.28 ID:CDtO+hyb]

もう全部アンインストールしちゃったよ、もっと早く教えろよ

[33 名刺は切らしておりまして 2019/07/25(木) 16:00:05.82 ID:LQcsgoHL]

致命的って何をされるの
外部からの接続でルート権限を乗っ取られるとか？
そういう脆弱性ってOS側でガードしてほしいけどな

[34 名刺は切らしておりまして 2019/07/25(木) 16:04:09.02 ID:hdHLxDKJ]

>>15,16
流石にネタやろw

[35 名刺は切らしておりまして 2019/07/25(木) 16:08:10.83 ID:h5xpOGGQ]

削除してもうたわ。

[36 名刺は切らしておりまして 2019/07/25(木) 16:16:45.51 ID:HYDFJgQ/]

>>33
SELinuxとかAppArmor使いなさいよ
というか近頃のdistroでは有効になってるだろ

[37 名刺は切らしておりまして 2019/07/25(木) 16:23:42.81 ID:GeugO4HC]

>>33
動画に特定コード埋め込んで再生させたときにリモートコードを実行させて管理者権限奪取とか
そんな感じだろ
よくある手口、というか乗っ取りの基本的な手順

[38 名刺は切らしておりまして 2019/07/25(木) 16:26:21.52 ID:kq44OEXo]

ubuntu18.04おじさんはwindows7おじさんの親戚だね

[39 名刺は切らしておりまして 2019/07/25(木) 16:42:07.97 ID:HYDFJgQ/]

>>38
ちょっと違う気が
18.04より新しいLTS出てないだろ
今が2028年ならそうだがw

[40 名刺は切らしておりまして 2019/07/25(木) 16:48:06.46 ID:zC9b+vxR]

有名になると狙われるのは世の常。中国製ソフトは絶対に使いたくないが、アンドロイドがぁなぁ

[41 名刺は切らしておりまして 2019/07/25(木) 17:06:58.58 ID:W4lO8ABk]

日本のアダルトビデオにウィルスしこんどいて
いざという時に使えるようにしとけばよい

[42 名刺は切らしておりまして 2019/07/25(木) 17:12:51.61 ID:JyKkwMmy]

>>16
それでもやっぱりGOMが使いやすいんだよ
騒動の時も古いバージョンに戻して使い続けてたし

[43 名刺は切らしておりまして 2019/07/25(木) 17:13:32.72 ID:1PIL3TMx]

また糞モードの糞飛ばし記事かよ
ほんと害悪しかねーな

[44 名刺は切らしておりまして 2019/07/25(木) 17:16:37.06 ID:90zp1wKm]

GUIがクズレベル

[45 名刺は切らしておりまして 2019/07/25(木) 18:45:48.84 ID:eZvHOHz9]

>>38
Windows7でWindows update無効のノーガードおじさん

[46 名刺は切らしておりまして 2019/07/25(木) 19:28:08.71 ID:J1TgzU/t]

VLC ほど万能なの他にないからなぁ

[47 名刺は切らしておりまして 2019/07/25(木) 19:37:51.69 ID:QEbYU2QI]

、いろいろ試してみたがこれが一番合ってた、俺のマシンだとちょっと重いけど
VLCだったかVCLだったかたまに迷う

[48 名刺は切らしておりまして 2019/07/25(木) 19:47:46.99 ID:zivTnhPY]

>>12
チョーーーン

[49 名刺は切らしておりまして 2019/07/25(木) 19:52:07.24 ID:zivTnhPY]

>>44
代わりに何を使ってるの？

[50 名刺は切らしておりまして 2019/07/25(木) 20:00:40.15 ID:voKOFP0J]

>>20
SMPlayer
名前がちょっとエロいが

[51 名刺は切らしておりまして 2019/07/25(木) 20:05:51.05 ID:Q6QJb5CR]

キャプチャーも撮れるから便利
コーデック入ればBDファイルも再生できる

[52 名刺は切らしておりまして 2019/07/26(金) 02:13:52.40 ID:ffqEVhOe]

見かけない拡張子でもみんなとにかく開けちゃうというイメージ。　　開きません　というのみた覚えがない

[53 名刺は切らしておりまして 2019/07/26(金) 03:34:03.13 ID:bBxoVKYi]

GIF画像は再生できない
これも乗り越えて欲しい

[54 名刺は切らしておりまして 2019/07/26(金) 04:00:59.17 ID:rAopH+Ay]

>>1
コーデック気にせずとりあえずインスコしときゃいいから楽だよね

[55 名刺は切らしておりまして 2019/07/26(金) 07:16:04.50 ID:OD2CXsaA]

>>12
朝鮮人なら一択だな

[56 名刺は切らしておりまして 2019/07/26(金) 07:19:26.76 ID:9ht04c9S]

MPC-HCが一番シンプルでええわ

[57 名刺は切らしておりまして 2019/07/26(金) 07:43:13.72 ID:+E1TcNUA]

普段は脆弱性ではスレ立たないのに、一斉にメディアが取り上げてスレ立ってまとめられて、「代替ソフト」の話になった。

[58 名刺は切らしておりまして 2019/07/26(金) 08:15:41.09 ID:vG9h4TbT]

>>6
炎上マーケティングかw

[59 名刺は切らしておりまして 2019/07/26(金) 08:18:47.86 ID:vG9h4TbT]

>>50
どうせお前が見るもんエロが大半だから合ってるじゃねーかw

[60 名刺は切らしておりまして 2019/07/26(金) 09:00:44.70 ID:1xW261ma]

>>57
それだけ有名なソフトってこった

[61 名刺は切らしておりまして 2019/07/26(金) 14:53:12.48 ID:JQyh5eyH]

昔はRealplayerつかっていたが、今はvlcが一番。