【PCセキュリティ】一部メディアが報ずる「VLC media player」の致命的な脆弱性は誤り〜VideoLANが声明

[過去ﾛｸﾞ] 【PCセキュリティ】一部メディアが報ずる「VLC media player」の致命的な脆弱性は誤り〜VideoLANが声明 (61ﾚｽ)
上下前次 1-新
通常表示 512ﾊﾞｲﾄ分割ﾚｽ栞

このｽﾚｯﾄﾞは過去ﾛｸﾞ倉庫に格納されています｡
次ｽﾚ検索歴削→次ｽﾚ栞削→次ｽﾚ過去ﾛｸﾞﾒﾆｭｰ

1: へっぽこ立て子＠エリオット ★ [] 2019/07/25(木) 12:27:17 ID:CAP_USER

（軽く調べてみましたが、脆弱性が見つかったとしてアンインストールを推奨する記事は大手でもかなりありますが、訂正記事を出しているところはまだ見あたらないようです。よってこの記事の真偽は各個人で判断して下さい）

https://forest.watch.impress.co.jp/img/wf/docs/1197/998/image1.jpg
VideoLAN公式の“Twitter”アカウント

仏VideoLAN Projectは7月24日（現地時間）、一部メディアで報じられている「VLC media player」の致命的な脆弱性について、公式の“Twitter”アカウントで声明を発表した。報道は誤りであり、すでに修正されているものであるという。

開発チームによると、報じられている脆弱性は「libebml」と呼ばれるサードパーティー製ライブラリに起因するもので、16カ月以上前にすでに修正されている。「VLC」でもv3.0.3から修正されており、報告された問題は再現できなかったとのこと。報告者は古い「Ubuntu 18.04」を利用しており、ライブラリが適切にアップデートされていなかったようだ。

しかし、この未検証の脆弱性はMITREにも通報され、開発チームに知らされないうちに“CVE-2019-13615”として登録されたという。当初、この脆弱性は“CVSS v3.0”の基本値で“9.8”と評価されており、米Gizmodoなど一部メディアはそれらを根拠に「VLC」のWindows/Linux/Unix版にはリモートコード実行（RCE）の危険があるとして、アンインストールを推奨していた（執筆時現在、“CVSS v3.0”の基本値は“5.5”に改められている）。実際のところ、今回指摘されたヒープベースのバッファーオーバーリードが「VLC」でリモートコード実行（RCE）にまで発展することはほぼないようだ。

「VLC」の開発チームは、今回のような事例は初めてではないとして、CVEの管理方法を強く批判している。

https://twitter.com/videolan/status/1153963312981389312
@videolan
About the "security issue" on #VLC : VLC is not vulnerable.
tl;dr: the issue is in a 3rd party library, called libebml, which was fixed more than 16 months ago.
VLC since version 3.0.3 has the correct version shipped, and @MITREcorp did not even check their claim.

関連リンク
VLC: オフィシャルサイト - すべてのOSにフリーなマルチメディアソリューションを! - VideoLAN
https://www.videolan.org/
「VLC media player」定番の無料メディアプレイヤー - 窓の杜
https://forest.watch.impress.co.jp/library/software/vlcmedia_ply/

2019年7月25日 08:00
窓の杜
https://forest.watch.impress.co.jp/docs/news/1197998.html
https://twitter.com/5chan_nel (5ch newer account)

http://egg.5ch.net/test/read.cgi/bizplus/1564025237/1

上下前次 1-新書関写板覧索設栞歴

あと 51 ﾚｽあります
ｽﾚ情報赤ﾚｽ抽出画像ﾚｽ抽出歴の未読ｽﾚ AAｻﾑﾈｲﾙ

ぬこの手ぬこTOP 0.004s