Lỗi tràn bộ đệm của phần mềm VLC Media Player

15:34 | 05/04/2008 | LỖ HỔNG ATTT

VLC Media Player là phần mềm nghe nhạc, xem phim miễn phí, mã nguồn mở. VLC Media Player được biết đến vì sự nhỏ gọn, tiện dụng và đặc biệt có các phiên bản sử dụng trên nhiều hệ điều hành khác nhau

Theo thống kê trên trang web chính thức của VLC Media Player (http://www.videolan.org/vlc) trung bình mỗi giây có một lượt download phần mềm. Vào giữa tháng 3/2008, một lỗi nguy hiểm của chương trình VLC Media Player đã được công bố. Lợi dụng lỗi này, hacker có thể xâm nhập, chiếm quyền điều khiển máy tính của người sử dụng phần mềm VLC Media Player. Trung tâm An ninh mạng Bkis đã tiến hành thử nghiệm và xác minh mức độ nguy hiểm của lỗ hổng này. Kết quả phân tích cho thấy, chức năng xem phim có kèm file phụ đề .ssa mắc lỗi tràn bộ đệm (buffer overflow). Đây là 1 lỗi do bộ phận lập trình đã không

$Description: C:\Users\viet\Desktop\16-01-2013 4-33-29 CH.png$

kiểm soát độ dài của các xâu đầu vào, hacker có thể chèn mã độcvào các xâu này. Khi một file video được mở ra (ví dụ abc.avi), chương trình VLC Media Player sẽ tự động tìm trong thư mục chứa abc.avi file phụ đề có tên trùng với tên file video và đuôi mở rộng là các chuẩn file phụ đề (ví dụ abc.ssa). Chương trình sẽ đọc các trường thông tin trong file .ssa để hiển thị phụ đề cùng với file video. Tuy nhiên, VLC Media Player đã không kiểm soát độ dài của các trường này, vì vậy nếu file .ssa chứa các trường có độ dài rất lớn thì sẽ dẫn đến bộ nhớ đệm của chương trình bị tràn. Lợi dụng khe hở này, hacker có thể lừa người xem phim có kèm theo file .ssa chứa mã độc, khi download 2 file này về và chạy bằng VLC Media Player phiên bản bị lỗi, người sử dụng sẽ trở thành nạn nhân của các hacker. Hậu quả là máy tính có thể bị cài đặt các phần mềm độc hại, bị điều khiển từ xa, hoặc có thể bị ăn cắp các thông tin cá nhân như mật khẩu, tài khoản lưu trên máy tính ...
Cập nhật bản vá

$Description: C:\Users\viet\Desktop\16-01-2013 4-40-51 CH.png$

Đây là lỗ hổng rất nguy hiểm, tuy nhiên hiện nay VLC chưa đưa ra bản vá cho lỗ hổng này. Vì vậy, nếu đang sử dung phần mềm VLC Media Player thì người sử dụng cần thực hiện ngay các biện pháp bảo vệ sau:
Không download những video có kèm file phụ đề nguồn gốc không rõ ràng.
- Disable chức năng tự động mở file phụ đề bằng cách: trên thanh menu, chọn Setting > Preferences > Subtitles > bỏ dấu tick “Autodetect subtitle files” (như hình vẽ ).
Bên cạnh đó, cần theo dõi và cập nhật bản mới nhất tại địa chỉ
http://www.videolan.org/vlc/ ?

‹ › ×

Tin liên quan

VideoLAN phát hành bản cập nhật vá hai lỗ hổng nghiêm trọng trong VLC Media Player

15:00 | 15/11/2023

VideoLAN vừa phát hành phiên bản VLC Media Player 3.0.20, hiện đã có sẵn cho hệ điều hành Windows, Mac và Linux để giải quyết hai lỗ hổng nghiêm trọng.

Tin cùng chuyên mục

Hơn 11 triệu thiết bị Android có thể bị nhiễm mã độc Necro

12:00 | 03/10/2024

Mới đây, các chuyên gia bảo mật tại Kaspersky phát hiện ra 2 phần mềm có chứa mã độc Necro trên cửa hàng ứng dụng Play Store của Google. Đáng chú ý, 2 phần mềm độc hại này đã có tới hơn 11 triệu lượt tải xuống trước khi được các chuyên gia phát hiện.

Cisco phát hành bản vá cho hai lỗ hổng nghiêm trọng trong tiện ích cấp phép thông minh

13:00 | 13/09/2024

Cisco đã phát hành bản cập nhật bảo mật để giải quyết hai lỗ hổng nghiêm trọng ảnh hưởng đến tiện ích cấp phép thông minh (Smart Licensing Utility), có thể cho phép kẻ tấn công từ xa chưa được xác thực leo thang đặc quyền hoặc truy cập thông tin nhạy cảm.

Hơn 3.000 tài khoản GitHub bị lợi dụng để phát tán mềm độc hại

16:00 | 06/08/2024

Nhóm tin tặc Stargazer Goblin thực hiện phân phối dưới dạng dịch vụ (DaaS) phần mềm độc hại từ hơn 3.000 tài khoản giả mạo trên GitHub.

Nhiều cơ quan trọng yếu của Mỹ bị rò rỉ tài liệu nội bộ

10:00 | 31/07/2024

Mới đây, tin tặc đã phát tán tài liệu nội bộ liên quan đến các cơ quan trọng yếu của Mỹ như Bộ Quốc phòng, Bộ An ninh Nội địa, Cơ quan Hàng không và Vũ trụ (NASA). Theo đó, tài liệu nội bộ bị đánh cắp từ Leidos Holdings, một trong những nhà cung cấp dịch vụ công nghệ thông tin lớn nhất của Chính phủ Mỹ.