VLC ve Diğer Medya Oynatıcılarında Bulunan Kritik Kusur

Güvenlik araştırmacıları, medya akışı yapabilen bir dizi gömülü cihazla birlikte VLC ve MPlayer gibi popüler medya oynatıcıları tarafından kullanılan LIVE555 Streaming Media kütüphanesinde ciddi bir kod yürütme güvenlik açığı keşfettiler.

Live Networks tarafından geliştirilen ve sürdürülen LIVE555 akış ortamı, RTP / RTCP, RTSP veya SIP gibi açık standart protokoller üzerinden multimedya akışı için kullanılan bir dizi C ++ kütüphanesi şirketidir.

LIVE555 akışlı ortam kitaplıkları, MPEG, H.265, H.264, H.263 +, VP8, DV ve JPEG videoları gibi çeşitli video formatlarının ve MPEG, AAC gibi çeşitli ses kodeklerinin akışını, alınmasını ve işlenmesini destekler.

Savunmasız kütüphane dahili olarak milyonlarca kullanıcıyı siber saldırılara maruz bırakan VLC ve MPlayer gibi birçok tanınmış medya yazılımı tarafından kullanılıyor.

CVE-2018-4013 olarak izlenen ve Cisco Talos İstihbarat Grubu’nun araştırmacı Lilith Wyatt tarafından keşfedilen kod yürütme güvenlik açığı, HTTP üstbilgileri HTTP üzerinden RTSP’yi tünellemek için ayrıştıran LIVE555 RTSP’nin HTTP paket ayrıştırma işlevinde bulunur.

Cisco Talos’un güvenlik danışmanı , “Özel olarak hazırlanmış bir paket, yığın tabanlı bir arabellek taşmasına neden olarak kod yürütmesine neden olabilir” diyor. “Bir saldırgan bu güvenlik açığını tetiklemek için bir paket gönderebilir.”

Bu güvenlik açığından yararlanmak için, bir saldırganın yapması gereken, “lookForHeader” işlevinde yığın arabellek taşmasına neden olacak şekilde, saldırıya açık uygulamaya “birden çok ‘Kabul Et:’ veya ‘x-sessioncookie’ dizesi içeren bir paket oluşturup göndermektir ve rasgele kod yürütmeye yol açar.

Cisco Talos ekibi, Live Networks LIVE555 Media Server sürüm 0.92’deki güvenlik açığını doğruladı ancak ekip, güvenlik sorununun ürünün önceki sürümlerinde de mevcut olabileceğine inanıyor.

Cisco Talos, 10 Ekim’de Live Networks’e yönelik güvenlik açığını sorumlu bir şekilde bildirdi ve satıcı , 17 Ekim’deki güvenlik düzeltme eklerini yayınladıktan sonra 18 Ekim’de güvenlik konusunu kamuya açıkladı .