VLC Media Player: Sicherheitslücke sorgt für Verwirrung

Zahlreiche Medien berichten über eine schwere Sicherheitslücke im beliebten Mediaplayer VLC. Selbst das Bundesamt für Sicherheit in der Informationstechnik warnt, weil die Schwachstelle die Umgehung von Sicherheitsrestriktionen erlauben soll. Betroffen sein sollen Windows und Linux. Geführt wird die Lücke unter CVE-2019-13615. Lücken können passieren – und manche sind schwer.

Normalerweise werden solche Lücken unter dem Mantel der Verschwiegenheit an die Entwickler gemeldet, die dann in einem bestimmen Zeitraum nachpatchen, dann wird die Lücke offengelegt. Hier gibt es nun einige Verwirrungen. In Kurzform: VLC ist nach Aussagen der Entwickler als solches nicht Schuld, sondern ein Library eines Drittanbieters. Für den Nutzer sicherlich egal, aber das ist die Aussage und es geht ja noch weiter.

Die Library heißt libebml und die Lücke wurde schon vor über 16 Monaten geschlossen – seit Version 3.0.3 liefert man diese Version mit dem VLC Media Player aus. Offensichtlich haben die Sicherheitsforscher, die die Lücke gefunden haben wollen, auch nicht auf Nachfragen des Teams rund um den VLC Media Player geantwortet. Dies soll auch nicht das erste Mal gewesen sein, dass so von den Findern agiert wurde – obwohl VLC einen offenen Bugtracker anbietet.

Im Laufe eines Twitter-Threads wird auch das Bundesamt für Sicherheit in der Informationstechnik angezählt, auch diese sollen das Problem nicht nachvollzogen oder mit den Entwicklern des VLC Rücksprache gehalten haben. Viel besser ist da noch die Aussage, dass ein Finder der Lücke eine veraltete Version seines Betriebssystems einsetzt, welches eben noch die alten Librarys einsetzt.

Der langen Rede kurzer Sinn: Da ist beim Reporting der Sicherheitslücke wohl einiges im Argen gewesen – für euch wichtig: Schaut einfach, dass euer System auf dem aktuellen Stand ist und ihr auch Software aktuell haltet.