Si usa el reproductor de medios VLC en su computadora y no lo ha actualizado recientemente, ni siquiera se atreve a reproducir en él ningún archivo de video descargado al azar que no sea de confianza. Si lo hace, podría permitir a los piratas informáticos controlar de forma remota su sistema informático.
Esto se debe a que las versiones de software del reproductor de medios VLC anteriores a 3.0.7 contienen dos vulnerabilidades de seguridad de alto riesgo, además de muchas otras fallas de seguridad de gravedad media y baja, que podrían conducir a ataques de ejecución de código arbitrarios.
Con más de 3 mil millones de descargas, VLC es un software de reproductor de medios de código abierto muy popular que actualmente está siendo usado por cientos de millones de usuarios en todo el mundo en todas las plataformas principales, incluyendo Windows, macOS, Linux, así como plataformas móviles con Android e iOS. .
Descubierta por Symeon Paraschoudis por Pen Test Partners e identificada como CVE-2019-12874, la primera vulnerabilidad de alta gravedad que reside en la función "zlib_decompress_extra" del reproductor de VideoLAN VLC y se activa cuando analiza un archivo MKV mal formado.
La segunda falla de alto riesgo, identificada como CVE-2019-5439 y descubierta por otro investigador, es un problema de desbordamiento del buffer de lectura que reside en la función "ReadFrame" y se puede activar mediante un archivo de video AVI con formato incorrecto.
Si bien la prueba de conceptos demostrada por ambos investigadores causó una falla, un atacante potencial puede explotar estas vulnerabilidades para lograr la ejecución de código arbitrario con los mismos privilegios que el usuario objetivo en el sistema.
Todo lo que el atacante debe hacer es crear un archivo de video malicioso MKV o AVI y engañar a los usuarios para que lo reproduzcan utilizando las versiones vulnerables de VLC.
Bueno, ese no es un trabajo difícil, ya que los atacantes pueden atacar fácilmente a cientos de miles de usuarios en cuestión de horas simplemente lanzando archivos de video maliciosos en sitios de torrent, imitando como una copia pirateada de una película o serie de televisión recién estrenada.
De acuerdo con un aviso publicado por VideoLAN, tener las protecciones ASLR y DEP habilitadas en el sistema podría ayudar a los usuarios a mitigar la amenaza, pero los desarrolladores admitieron que estas protecciones también podrían pasar por alto.
Paraschoudis usó la herramienta fuzzing honggfuzz para descubrir este problema y otros cuatro errores, que también fueron reparados por el equipo de VideoLAN a principios de este mes junto con otros 28 errores informados por otros investigadores de seguridad a través del programa de recompensas de errores de EU-FOSSA.
Se recomienda encarecidamente a los usuarios que actualicen el software de su reproductor de medios a VLC 3.0.7 o versiones posteriores y deben evitar abrir o reproducir archivos de video de terceros que no sean de confianza.
