VLC per Windows, scoperte due vulnerabilità

Un ricercatore di sicurezza turco ha scoperto due gravi vulnerabilità in VLC per Windows che non sono state ancora risolte da VideoLAN. L’organizzazione no-profit che coordina lo sviluppo del popolare media player open source è stata informata del problema a fine dicembre 2014, ma a tutt’oggi non è stato rilasciato un aggiornamento. È probabile che ciò avverrà nei prossimi giorni. Nel frattempo, prosegue la distribuzione di bug fix per la versione beta compatibile con Windows Phone 8.1.

Le due vulnerabilità, scoperte a fine novembre 2014, possono essere sfruttate per la stessa finalità, ovvero corrompere la memoria ed eseguire codice arbitrario. Il ricercatore di sicurezza Veysel Hatas ha specificato che il primo bug potrebbe essere utilizzato per eludere la funzionalità DEP (Data Execution Prevention) implementata da Microsoft nei suoi sistemi operativi, a partire da Windows XP SP2. Il secondo bug, invece, potrebbe essere sfruttato per effettuare scritture in aree di memoria riservate. Hatas ha verificato l’esistenza delle vulnerabilità in VLC 2.1.5, effettuando i test con Windows XP SP3.

Il vecchio sistema operativo non viene più supportato dall’8 aprile 2014, quindi molti utenti potrebbero essere a rischio. Per eseguire codice arbitrario sul computer della vittima, un malintenzionato deve solo convincerla ad eseguire un file nei formati FLV (Flash Video) e M2V (MPEG-2 Video).

Il team di sviluppo è attualmente impegnato nella risoluzione dei numerosi bug segnalati dagli utenti che hanno installato la versione beta di VLC per Windows Phone 8.1. L’ultima build 1.0.8 è stata rilasciata ieri ed è disponibile gratuitamente sul Windows Phone Store. La prossima release 1.0.9 introduce alcune modifiche estetiche all’app e migliorerà gli algoritmi utilizzati per la riproduzione dei contenuti multimediali.

The next update, v1.0.9 will feature some tiny cosmetic changes, bugfixes, and maybe algorithm improvements.

— Thomas Nigro (@ThomasNigro) January 19, 2015