• Saltar al contenido principal
  • Saltar a la barra lateral principal
  • Saltar al pie de página
  • Inicio
  • Auditoría
  • Eventos
  • Formación
  • General
  • Malware
  • Vulnerabilidades
  • Un blog de

Una al Día

Boletín de noticias de Seguridad Informática ofrecido por Hispasec

Estás aquí: Inicio / General / VLC no es vulnerable y no tienes que desinstalarlo

VLC no es vulnerable y no tienes que desinstalarlo

25 julio, 2019 Por Juan José Oyagüe Deja un comentario

La vulnerabilidad llevaba parcheada 16 meses y no formaba parte VLC, aunque un cúmulo de malas prácticas han permitido que la noticia llegue hasta los medios

Esta no es una noticia sobre una nueva vulnerabilidad como estamos acostumbrados, sino sobre los medios, el sector de la seguridad y la falta de rigor. VLC, uno de los reproductores más populares, se ha visto sumido en una campaña de desprestigio solicitando su desinstalación por un fallo ya parcheado desde hace más de un año.

La vulnerabilidad de la disputa se encuentra en la biblioteca libebml, encargada de interpretar los metadatos XML de los vídeos Matroska (MKV) y no en el código de VLC. Dicha vulnerabilidad que permitía la ejecución remota de código (RCE) ya fue solucionada hace 16 meses, e incluida con la versión 3.0.3 de VLC hace más de un año, siendo la versión actual la 3.0.7.

La razón por la que el analista de seguridad que «redescubrió» la vulnerabilidad pudo reproducirla se debe a que estaba usando una versión sin soporte de Ubuntu. En vez de contrastar si su versión era la última y qué versiones eran vulnerables, abrió un reporte por el canal incorrecto, notificándose en el bugtracker de VLC en vez de por el email privado de seguridad preparado para ello. Debido a que el fallo no era reproducible en sistemas actualizados y a la falta de información, el reporte no pudo tratarse.

Al mismo tiempo, MITRE abría un CVE para la vulnerabilidad sin contactar con el equipo de VLC a pesar de violar sus propias políticas, y por si fuera poco NVD no respondía a las peticiones de VLC solicitando que se corrigiera la información del CVE. La vulnerabilidad recibió además la puntuación de 9.8 (crítica) siendo la correcta 5.5 (ya corregida).

La prensa en vez de contrastar o comprobar en qué consistía el fallo se apresuró a publicar noticias alarmistas por la vulnerabilidad, siendo el detonante la escrita en Gizmodo con título «You Might Want to Uninstall VLC. Immediately». Por supuesto, otros medios se hicieron eco de la noticia con titulares del mismo tipo.

Los medios ya están actualizando las noticias publicadas, pero el daño ya está hecho. La reputación de VLC se ha visto dañada, y muchos usuarios habrán desinstalado el reproductor a pesar de no existir riesgo en la actualidad.

Más información:

A thread written by @videolan:
https://threader.app/thread/1153963312981389312

Compártelo:

  • Twitter
  • Facebook
  • LinkedIn
  • Reddit
  • Telegram
  • WhatsApp

Publicaciones relacionadas

Archivado en: General, Vulnerabilidades Etiquetado como: cve, mitre, prensa, rce, vlc

Interacciones del lector

Deja un comentario Cancelar la respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.

Barra lateral primaria

Buscador

Email Newsletter

Suscríbase y reciba Una al Día en su correo.

  • Correo electrónico
  • Facebook
  • LinkedIn
  • RSS
  • Twitter

Populares de UAD

  • Un fallo de Linux posibilita el secuestro de conexiones VPN cifradas
  • Nueva vulnerabilidad de Android afecta a todas sus versiones
  • RevengeHotels una campaña de malware para robar datos de la tarjeta de crédito a los clientes de hoteles.
  • Vulnerabilidades en OpenBSD
  • Prosegur ha sido víctima de un grave ciberataque

Entradas recientes

  • Un fallo de Linux posibilita el secuestro de conexiones VPN cifradas
  • Vulnerabilidades en OpenBSD
  • Facebook demandó a una firma china por robar datos de los usuarios y mostrar anuncios fraudulentos
  • RevengeHotels una campaña de malware para robar datos de la tarjeta de crédito a los clientes de hoteles.
  • Ring proporcionaba a la policía un mapa detallado de las instalaciones de los videoporteros
  • Nueva vulnerabilidad de Android afecta a todas sus versiones
  • Nuevo troyano espía para Chrome envía los datos robados a una base de datos Mongo

Footer

Una al Día

Una-al-día nació a raíz de un inocente comentario en un canal IRC hace casi 19 años. A través de los archivos, un lector curioso puede ver cómo ha cambiado (o no) la seguridad de la información desde entonces.

Entradas recientes

  • Un fallo de Linux posibilita el secuestro de conexiones VPN cifradas
  • Vulnerabilidades en OpenBSD
  • Facebook demandó a una firma china por robar datos de los usuarios y mostrar anuncios fraudulentos
  • RevengeHotels una campaña de malware para robar datos de la tarjeta de crédito a los clientes de hoteles.
  • Ring proporcionaba a la policía un mapa detallado de las instalaciones de los videoporteros

Etiquetas

0-day Android Apple Chrome Criptomonedas cve D-Link Facebook firefox Google iOS Koodous leak linux malware Microsoft Microsoft Edge Moodle Mozilla mySQL Netgear NetWeaver NVIDIA ONTSI OpenOffice OpenSSH OpenSSL Opera Oracle OS X Phishing PHP Poc PostgreSQL Pwn2Own QuickTime ransomware rce Red Hat Squid vulnerabilidad vulnerabilidades vulnerability Windows zero day

Copyright © 2019 · Hispasec

Utilizamos cookies para asegurar que damos la mejor experiencia al usuario en nuestra web. Si sigues utilizando este sitio asumiremos que estás de acuerdo.Vale