【PCセキュリティ】一部メディアが報ずる「VLC media player」の致命的な脆弱性は誤り 〜VideoLANが声明
■ このスレッドは過去ログ倉庫に格納されています
(軽く調べてみましたが、脆弱性が見つかったとしてアンインストールを推奨する記事は大手でもかなりありますが、訂正記事を出しているところはまだ見あたらないようです。よってこの記事の真偽は各個人で判断して下さい)
https://forest.watch.impress.co.jp/img/wf/docs/1197/998/image1.jpg
VideoLAN公式の“Twitter”アカウント
仏VideoLAN Projectは7月24日(現地時間)、一部メディアで報じられている「VLC media player」の致命的な脆弱性について、公式の“Twitter”アカウントで声明を発表した。報道は誤りであり、すでに修正されているものであるという。
開発チームによると、報じられている脆弱性は「libebml」と呼ばれるサードパーティー製ライブラリに起因するもので、16カ月以上前にすでに修正されている。「VLC」でもv3.0.3から修正されており、報告された問題は再現できなかったとのこと。報告者は古い「Ubuntu 18.04」を利用しており、ライブラリが適切にアップデートされていなかったようだ。
しかし、この未検証の脆弱性はMITREにも通報され、開発チームに知らされないうちに“CVE-2019-13615”として登録されたという。当初、この脆弱性は“CVSS v3.0”の基本値で“9.8”と評価されており、米Gizmodoなど一部メディアはそれらを根拠に「VLC」のWindows/Linux/Unix版にはリモートコード実行(RCE)の危険があるとして、アンインストールを推奨していた(執筆時現在、“CVSS v3.0”の基本値は“5.5”に改められている)。実際のところ、今回指摘されたヒープベースのバッファーオーバーリードが「VLC」でリモートコード実行(RCE)にまで発展することはほぼないようだ。
「VLC」の開発チームは、今回のような事例は初めてではないとして、CVEの管理方法を強く批判している。
https://twitter.com/videolan/status/1153963312981389312
@videolan
About the "security issue" on #VLC : VLC is not vulnerable.
tl;dr: the issue is in a 3rd party library, called libebml, which was fixed more than 16 months ago.
VLC since version 3.0.3 has the correct version shipped, and @MITREcorp did not even check their claim.
関連リンク
VLC: オフィシャルサイト - すべてのOSにフリーなマルチメディアソリューションを! - VideoLAN
https://www.videolan.org/
「VLC media player」定番の無料メディアプレイヤー - 窓の杜
https://forest.watch.impress.co.jp/library/software/vlcmedia_ply/
2019年7月25日 08:00
窓の杜
https://forest.watch.impress.co.jp/docs/news/1197998.html
https://twitter.com/5chan_nel (5ch newer account) > 報告者は古い「Ubuntu 18.04」を利用しており
こんなレベルのやつが報告してるのか... Windows10とAndroidに入れてるわ
mp4にエンコしたDVD再生に超便利 このニュースで知ってVLC使い始めた
使いやすいね
☆5つ ABリピートも便利だよね
エロ動画のフィニッシュ抜きシーンをピンポイントでリピートできる こっわ
定評のあるGOMPlayerに乗り換えるわ そんなことより、Windows10のJavaの更新で、スクリプトエラーが出るのを
早く治してほしい。 >>7
こんな機能もあるのか!拡張コントロールってやつな
サンキュー >>12
バカチョン製でスパイウェアと判明して大騒ぎになったのによくそんなもの使えるな(笑) フリーソフトなんてウイルス上等でみんな使ってるもんだと思ってたわ VLCはAppleTVにAirPlayできるから使ってる >>2
ubutuだろうが、Windowsだろうが一年以上パッチも当てずに放置すれば、そりゃセキュリティ的には弱くなる。 ISOを標準で普通に再生できるフリーソフトって他あったか? >>7>>14
ABリピートあったんだ やっと見つけたthx 使う時はネット接続する必要はないソフトなのにセキュリティに問題があるのか…
とするとロータス123みたいにアプデされてないソフトを使うのは危険ってことなのかな? マウスジェスチャ標準で付いてるのgom以外になんかない? >>3
安直なユーザーが増えてきてしまったので
今ではもはやそうとはいいきれない
残念なことにドザからの流入で増えたユーザー数は
クラッカーの攻撃対象にふさわしいようだ 特定のバージョンで脆弱性があることを報告するものだから、
18.04について報告することは問題じゃない
よーな気がしたが、
なんだ報告が遅いし、開発者に通知しないって
どういうことなんだろうねー(白目 もう全部アンインストールしちゃったよ、もっと早く教えろよ 致命的って何をされるの
外部からの接続でルート権限を乗っ取られるとか?
そういう脆弱性ってOS側でガードしてほしいけどな >>33
SELinuxとかAppArmor使いなさいよ
というか近頃のdistroでは有効になってるだろ >>33
動画に特定コード埋め込んで再生させたときにリモートコードを実行させて管理者権限奪取とか
そんな感じだろ
よくある手口、というか乗っ取りの基本的な手順 ubuntu18.04おじさんはwindows7おじさんの親戚だね >>38
ちょっと違う気が
18.04より新しいLTS出てないだろ
今が2028年ならそうだがw 有名になると狙われるのは世の常。中国製ソフトは絶対に使いたくないが、アンドロイドがぁなぁ 日本のアダルトビデオにウィルスしこんどいて
いざという時に使えるようにしとけばよい >>16
それでもやっぱりGOMが使いやすいんだよ
騒動の時も古いバージョンに戻して使い続けてたし また糞モードの糞飛ばし記事かよ
ほんと害悪しかねーな >>38
Windows7でWindows update無効のノーガードおじさん 、いろいろ試してみたがこれが一番合ってた、俺のマシンだとちょっと重いけど
VLCだったかVCLだったかたまに迷う >>20
SMPlayer
名前がちょっとエロいが キャプチャーも撮れるから便利
コーデック入ればBDファイルも再生できる 見かけない拡張子でもみんなとにかく開けちゃうというイメージ。 開きません というのみた覚えがない >>1
コーデック気にせずとりあえずインスコしときゃいいから楽だよね 普段は脆弱性ではスレ立たないのに、一斉にメディアが取り上げてスレ立ってまとめられて、「代替ソフト」の話になった。 >>50
どうせお前が見るもんエロが大半だから合ってるじゃねーかw 昔はRealplayerつかっていたが、今はvlcが一番。 ■ このスレッドは過去ログ倉庫に格納されています