Aggiornamenti recenti Luglio 31st, 2025 4:23 PM
partner
News Recenti
- Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
- Un Raspberry Pi per hackerare accedere alla rete bancaria: l’attacco (fallito) di UNC2891
- Apple rilascia una fix per una vulnerabilità di Safari già sfruttata in Chrome
- SafePay, cresce la minaccia ransomware contro gli MSP
- Spionaggio industriale: i gruppi cinesi puntano ai chip di Taiwan
- Google annuncia OSS Rebuild per migliorare la sicurezza dell’open-source
- Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
- Un Raspberry Pi per hackerare accedere alla rete bancaria: l’attacco (fallito) di UNC2891
C’è una falla in VLC? Sì, no, forse…
Il NIST sostiene che il bug consenta l’esecuzione di codice attraverso un video infetto, ma gli sviluppatori dell’applicazione negano.
Secondo i programmatori di VideoLAN si tratterebbe di una vera e propria fake news. Sull’esistenza di un bug che consentirebbe di attaccare un computer utilizzando un video infetto, però, ci sarà ancora parecchio da discutere.
L’allarme è stato lanciato dal National Institute of Standards and Technology (NIST) statunitense e la vulnerabilità è stata classificata come CVE-2019-13615. Si tratterebbe, nel dettaglio, di una falla nel player VLC che potrebbe essere sfruttata per provocare un crash dell’applicazione e una possibile esecuzione di codice.
Per arrivare all’obiettivo, un pirata informatico dovrebbe solo fare in modo di indurre la vittima ad aprire un video opportunamente modificato. Insomma, qualcosa di molto simile (anche se in quel caso il rischio era rappresentato dai sottotitoli) a quanto accaduto due anni fa.
Questa volta però l’efficacia dell’exploit, per lo meno a giudizio degli sviluppatori del player open source più popolare del mondo, è piuttosto dubbia.
Come spiegano in un articolo i colleghi di The Register, i dubbi dalle parti di VideoLAN riguardano la riproducibilità dell’exploit.
L’attacco, secondo il NIST, funzionerebbe con le ultime versioni di VLC per sistemi Linux e Windows. Gli sviluppatori di VLC, però, sostengono che il Proof of Concept (PoC) rilasciato dai ricercatori di sicurezza (un video MP4), alla prova dei fatti, non provoca alcun crash.
Gli esperti di The Register, si legge nell’articolo, hanno provato a loro volta il PoC in questione su un sistema Linux e confermano che il programma è andato in crash. Non è chiaro, quindi, se le perplessità degli sviluppatori (espresse in termini anche piuttosto coloriti) riguardino il semplice crash o la possibilità che questo porti all’esecuzione di codice.
La discussione, animata su una pagina dedicata al ticket relativo al bug in questione, non sembra essere arrivata a una conclusione ed è quindi difficile capire se VideoLAN rilascerà una patch per correggere la (presunta) falla di sicurezza.
Il consiglio, in ogni caso, è di tenere le antenne dritte e aggiornare immediatamente VLC nel caso in cui comparisse un update disponibile.
Condividi l'articolo
Il 49% dei data breach provocati da un errore umano
Falla in ProFTPd. Un milione di server vulnerabili
Articoli correlati
Altro in questa categoria
Approfondimenti
Minacce recenti
Off topic
Post recenti
Ransomware: la serie
No posts found.