Weitere Lücken in xine-lib

Erst vergangene Woche haben die Entwickler der xine-lib eine aktualisierte Version veröffentlicht. Schon hat Luigi Auriemma neue Sicherheitslücken darin entdeckt, die möglicherweise zur Ausführung von eingeschleustem Code führen können.

In Pocket speichern vorlesen Druckansicht 78 Kommentare lesen
Lesezeit: 1 Min.
Von

Keine Woche ist seit der Veröffentlichung der xine-lib 1.1.11 vergangen, die eine Sicherheitslücke beim Verarbeiten von Echtzeit-Datenströmen schließt, da werden schon neue Schwachstellen in der Multimedia-Bibliothek bekannt. Der Sicherheitsforscher Luigi Auriemma hat Lücken in den Verarbeitungsroutinen diverser Dateiformate gefunden, die zu Pufferüberläufen auf dem Heap und in der Folge möglicherweise zur Ausführung von eingeschleustem Schadcode führen können.

Laut Auriemmas Sicherheitsmeldung gehen die Sicherheitslecks auf fehlerhafte Berechnungen der Größe von Zielpuffern von Kopieroperationen zurück, die Angreifer mit manipulierten Dateien provozieren können. Solche Fehler finden sich in den Parsern für folgende Dateiformate:

  • demux_flv
  • demux_qt
  • demux_real
  • demux_wc3movie
  • ebml
  • demux_film

Diese Dateiformate sollte man mit Mediaplayern, die wie Totem oder Kaffeine auf xine-lib basieren, zumindest vorerst meiden. Die zahleichen, in der jüngsten Vergangenheit aufgespürten Sicherheitslücken in xine-lib könnten dazu animieren, einen alternativen Mediaplayer wie MPlayer oder VLC zu nutzen. Allerdings enthalten auch diese in den aktuellen Versionen ungepatchte Sicherheitslücken: VLC 0.8.6e patzt beim Verarbeiten von präparierten Untertitel-Dateien, während MPlayer Schadcode beim Streamen von Mediendateien oder beim Wiedergeben von manipulierten MOV- und FLAC-Dateien ausführen kann.

Siehe dazu auch:

(dmk)