VLC Media Playerに「非常に重大」な脆弱性

　クロスプラットフォームのソフトウェアVLC Media Playerに、何百万ものユーザーをリモートからのコード実行攻撃の危険にさらす可能性のある2件の「非常に重大」な脆弱性があることが、セキュリティ研究者の警告によってわかった。

　この問題はVLC Media Playerのバージョン0.5.0から0.9.5までに存在するもので、ハッカーが不正なメディアファイルを通じて、対象となる攻撃を受けたマシンの制御を完全に奪ってしまう可能性がある。VLCプロジェクトを管理するオープンソースグループであるVideoLANは既にパッチを公開しており、ユーザーに対しVLC Media Playerをバージョン0.9.6にアップグレードすることを強く勧めている。

　技術的な詳細は次のようなものだ。

• CUEデマルチプレクサに存在するエラーが悪用された場合、特別に作成されたCUEイメージファイルによってスタックベースのバッファオーバーフローを引き起こす可能性がある。
• RealTextのデマルチプレクサに存在するエラーが悪用された場合、特別に作成されたRealText字幕ファイルによってスタックベースのバッファオーバーフローを引き起こす可能性がある。

　この問題を悪用するには、ユーザーが特別に作成されたファイルを明示的に開く必要がある。どのメディアプレーヤーでも言えることだが、一般的に信用できない第三者から入手したファイルを開くことや、信頼できないリモートサイトへアクセスは避けるべきだ。