クロスプラットフォームのソフトウェアVLC Media Playerに、何百万ものユーザーをリモートからのコード実行攻撃の危険にさらす可能性のある2件の「非常に重大」な脆弱性があることが、セキュリティ研究者の警告によってわかった。
この問題はVLC Media Playerのバージョン0.5.0から0.9.5までに存在するもので、ハッカーが不正なメディアファイルを通じて、対象となる攻撃を受けたマシンの制御を完全に奪ってしまう可能性がある。VLCプロジェクトを管理するオープンソースグループであるVideoLANは既にパッチを公開しており、ユーザーに対しVLC Media Playerをバージョン0.9.6にアップグレードすることを強く勧めている。
技術的な詳細は次のようなものだ。
- CUEデマルチプレクサに存在するエラーが悪用された場合、特別に作成されたCUEイメージファイルによってスタックベースのバッファオーバーフローを引き起こす可能性がある。
- RealTextのデマルチプレクサに存在するエラーが悪用された場合、特別に作成されたRealText字幕ファイルによってスタックベースのバッファオーバーフローを引き起こす可能性がある。
この問題を悪用するには、ユーザーが特別に作成されたファイルを明示的に開く必要がある。どのメディアプレーヤーでも言えることだが、一般的に信用できない第三者から入手したファイルを開くことや、信頼できないリモートサイトへアクセスは避けるべきだ。
この記事は海外CNET Networks発のニュースをシーネットネットワークスジャパン編集部が日本向けに編集したものです。海外CNET Networksの記事へ
