Lug 24, 2019 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0

Il NIST sostiene che il bug consenta l’esecuzione di codice attraverso un video infetto, ma gli sviluppatori dell’applicazione negano.

Secondo i programmatori di VideoLAN si tratterebbe di una vera e propria fake news. Sull’esistenza di un bug che consentirebbe di attaccare un computer utilizzando un video infetto, però, ci sarà ancora parecchio da discutere.

L’allarme è stato lanciato dal National Institute of Standards and Technology (NIST) statunitense e la vulnerabilità è stata classificata come CVE-2019-13615. Si tratterebbe, nel dettaglio, di una falla nel player VLC che potrebbe essere sfruttata per provocare un crash dell’applicazione e una possibile esecuzione di codice.

Per arrivare all’obiettivo, un pirata informatico dovrebbe solo fare in modo di indurre la vittima ad aprire un video opportunamente modificato. Insomma, qualcosa di molto simile (anche se in quel caso il rischio era rappresentato dai sottotitoli) a quanto accaduto due anni fa.

Questa volta però l’efficacia dell’exploit, per lo meno a giudizio degli sviluppatori del player open source più popolare del mondo, è piuttosto dubbia.

Come spiegano in un articolo i colleghi di The Register, i dubbi dalle parti di VideoLAN riguardano la riproducibilità dell’exploit.

L’attacco, secondo il NIST, funzionerebbe con le ultime versioni di VLC per sistemi Linux e Windows. Gli sviluppatori di VLC, però, sostengono che il Proof of Concept (PoC) rilasciato dai ricercatori di sicurezza (un video MP4), alla prova dei fatti, non provoca alcun crash.

Gli esperti di The Register, si legge nell’articolo, hanno provato a loro volta il PoC  in questione su un sistema Linux e confermano che il programma è andato in crash. Non è chiaro, quindi, se le perplessità degli sviluppatori (espresse in termini anche piuttosto coloriti) riguardino il semplice crash o la possibilità che questo porti all’esecuzione di codice.

La discussione, animata su una pagina dedicata al ticket relativo al bug in questione, non sembra essere arrivata a una conclusione ed è quindi difficile capire se VideoLAN rilascerà una patch per correggere la (presunta) falla di sicurezza.

Il consiglio, in ogni caso, è di tenere le antenne dritte e aggiornare immediatamente VLC nel caso in cui comparisse un update disponibile.