News VLC Media Player: Sicherheitslücke betrifft nur veraltete Versionen

[Ecoli86]

Changelog für die 3.0.8 ist schon da. https://www.videolan.org/developers/vlc-branch/NEWS

Die angeblichen admins die Montag vlc unterbinden haben mich echt belustigt.

Übrigens, weiterhin kann niemand den Satz aus der Artikel-Zusammenfassung belegen, das BSI hätte zu Alternativen geraten.

 

[Hayda Ministral]

An dieser Stelle ein wichtiger Hinweis:
Sobald ein Update verfügbar ist ladet das [...] NICHT von der Seite www.vlc.de

Leider fehlt die Begründung, warum man nicht von dort laden sollte. Ohne Begründung wirkt die Aufforderung....seltsam. Um nicht zu sagen "wenig vertrauenswürdig".

 

[Jesterfox]

@Hayda Ministral : uBlock origin blockt bei mir die Seite www.vlc.de wegen "uBlock filters – Badware risks"


Allgemein sollte man Programme nur vom Hersteller oder wirklich vertrauenswürdigen Seiten herunterladen.

 

[Eventer]

alternative auf'm mac?

Iina

 

[Blueeye_x]

Was mich am VLC schon immer genervt hat, war das Spulen, bzw wenn man auf der Zeitleiste ( mehrfach ) mit der Maus weiter vor geklickt hat, gab es beim VLC immer eine kurze Verzögerung bis es weiter ging.

Beim SMPlayer gibt es diese Verzögerung nicht.

Außerdem lässt sich das Layout beim SMP nach eigenen Vorlieben sehr gut anpassen, bzw verändern.

Ich sehe beim VLC keinen echten Vorteil mehr gegenüber dem SMP.

 

[Zero_Point]

VLC = ~40 MB

Ohne Plugins und ähnliches.

Den roten Fuchs gibt es jetzt schon seit 2003. Von "einfach eingestellt werden" kann hier also nicht die Rede sein. Genauso gut kann PowerDVD jederzeit eingestellt werden. Neros "Blu-ray Player" wurde von Version 2015 auf 2016 auch einfach gestrichen. Ebenso ArcSoft TotalMedia Theatre. Rentierte sich offenbar nicht. Die Diskussion ist also wenig zielführend

Kleiner Unterschied zwischen rotem Fuchs und PowerDVD: der rote Fuchs ist illegal und wurde damals nicht einfach so abgeschossen.
Nero war früher eine Brennsoftware. Heute ist jeder mögliche Schrott mit drin und Nero hat nicht mehr des Status von einst. Mit PowerDVD, dem Hauptprodukt von Cyberlink, nicht zu vergleichen. Wieso sollte Cyberlink als fast konkurrenzloser Marktführer PowerDVD einstellen?

Ergänzung (21. Juli 2019)

Leider fehlt die Begründung, warum man nicht von dort laden sollte. Ohne Begründung wirkt die Aufforderung....seltsam. Um nicht zu sagen "wenig vertrauenswürdig".

Deshalb:

Wer es nötig hat derart zu täuschen, kann nur ein Betrüger sein.

 

[Tuxgamer42]

Changelog für die 3.0.8 ist schon da. https://www.videolan.org/developers/vlc-branch/NEWS

Und?
Siehst du darin Fix für diese Sicherheitslücke? Ich nicht.

Ich sehe nur, dass im issue trotz hoher Priorität der "Work status" von 60% auf "Not started" gerutscht ist. Und das wohlgemerkt, obwohl dieses issue seit 4 Wochen (!) offen ist ohne dass irgendetwas passiert ist.

Leider fehlt die Begründung, warum man nicht von dort [vlc.de] laden sollte.

vlc.de ist der erbärmliche Versuch sich an OpenSource Software persönlich zu bereichern - in diesem Fall wird versucht einem Adware (Browser Addon, Startseite verändern) durch einen manipulierten Installer unterzumogeln, wenn man nicht aufpasst (expliziet wegklickt).

PS: Was übrigens soweit alles völlig legal ist. Darüber hinaus ist so ein Vorgehen aber trotzdem ziemlicher Mist.

 

[Jesterfox]

Siehst du darin Fix für diese Sicherheitslücke? Ich nicht.

Security: * Fix a couple of interger underflows in the MP4 demuxer

Hört sich zumindest verdächtig an...

 

[Tuxgamer42]

Ein Integer underflow ist aber etwas anderes als ein heap-buffer-overflow?

 

[Jesterfox]

Im Prinzip ja, bin mal gespannt ob es schlussendlich einfach nur ne andere Ursache war als angenommen oder ob das was anderes war und die Lücke noch offen ist.

 

[BrollyLSSJ]

Nicht nur gefühlt. Es ist deeeeeutlich schneller und auch die HW-Acceleration funktioniert vernünftigt. Bei VLC ist das seit Jahren ein Problem, das nie richtig behoben wurde!

Das war auch der Grund, warum ich den VLC immer mal wieder getestet habe und links liegen lassen habe. Den KMPlayer (Nicht von KDE, sondern von dem Koreaner) mochte ich sehr, doch der hat auch irgendwann kein DXVA mehr gekonnt (mit meiner AMD GPU), weswegen ich dann den PotPlayer probierte. Aber den mochte ich nicht so, obwohl der vom selben Entwickler stammt wie der KMPlayer. Der KMPlayer war irgendwie flüssiger. Die beiden setzten auf die LAV Filter auf, genau wie später der MPC-HC. Dann bin ich zu mpv gewechselt, weil ich was wollte, was ich auch unter Fedora nutzen kann und bin seit dem sehr zufrieden.

 

[Tuxgamer42]

@Jesterfox
Reine Spekulation / Wunschdenken - ich denke mal, wir hätten etwas Ticket erfahren, wenn dem so wäre. "Work status" auf "Not started" setzen interpretiere ich dagegen als das Gegenteil von "ist gefixt".

 

[WinnieW2]

Changelog für die 3.0.8 ist schon da. https://www.videolan.org/developers/vlc-branch/NEWS

Ja, allerdings bislang keine Spur von der Version 3.0.8 selber.

 

[Morku]

Anhang anzeigen 802533
Ohne Plugins und ähnliches.

Was wird das hier eigentlich, wenn es fertig wird? Was genau versuchst du hier zu beweisen?
Weißt du was? Du hast recht.
Diesen Screenshot ignorieren wir jetzt einfach mal.

Und wir lassen es gut sein.

Die Tatsache, dass du es noch nichtmal auf Wikipedia von AnyDVD geschafft hast, sei dir auch verziehen.

Die häufig zu hörende pauschalisierende Aussage, dass das Programm an sich verboten sei, entspricht nicht den Tatsachen. In vielen europäischen Ländern, auch in Deutschland und Österreich, darf das Programm zwar weder beworben noch verkauft oder verliehen werden, der Besitz selbst ist jedoch unter anderem in Deutschland nicht strafbar. Der Gebrauch ist strafbar, sofern dabei eine technische Schutzvorrichtung umgangen wird und dies nicht ausschließlich zum eigenen Privatgebrauch geschieht.

Du nutzt weiter deine bunte Bloatsoftware und ich eben für BD Menüs VLC und ansonsten MPC-HC. Ok?
Ich bin hier raus. Ciao

 

[WinnieW2]

Anhang anzeigen 802533
Ohne Plugins und ähnliches.

Die 168 Mbyte belegt der VLC Player auf dem Datenträger als installierte Software, ist auf meinem Rechner genauso.
Während die Installationsdatei etwa eine Größe von 40 Mbyte hat. Die Daten sind in der Installationsdatei eben gut mit LZMA gepackt.

Und www.vlc.de ist nicht die offizielle Website, sondern www.videolan.org

 

[Jesterfox]

Diesen Screenshot ignorieren wir jetzt einfach mal.
Anhang anzeigen 802543

PowerDVD hat dann aber auch keine 400MB:

 

[Zero_Point]

Diesen Screenshot ignorieren wir jetzt einfach mal.
Anhang anzeigen 802543

Verstehe, ein 7z-Archiv ist deine Programminstallation.
Und Wikipedia als Quelle für juristische Dinge.

Die 168 Mbyte belegt der VLC Player auf dem Datenträger als installierte Software, ist auf meinem Rechner genauso.
Während die Installationsdatei etwa eine Größe von 40 Mbyte hat. Die Daten sind in der Installationsdatei eben gut mit LZMA gepackt.

Korrekt. Aber zeige mir einen Installer von PowerDVD, der 400MB groß ist. @Morku vergleicht absichtlich Äpfel mit Birnen, nämlich Installer (VLC) mit Installationen (PDVD) um den Eindruck der "Bloatware" aufrecht zu erhalten.

 

[Blueeye_x]

Ich weiß nicht wieso ihr euch über die paar Megabyte von diversen Playern aufregt.

Heut zu Tage ist ein Grafikkartentreiber ( ~ 500 MB Downloadgröße ) größer als sämtlich Player und das ist am Ende auch egal

 

[Jesterfox]

Wobei ich ergänzen muss dass die Installation vom PowerDVD 18 sogar 500MB groß ist... ;-)

 

[Gamefaq]

Absoluter stressfreier Vorgang, der keine 5 Minuten Aufwand erfordert.

Den die Admins da draußen jetzt aber alle erstmal Umsetzen müss(t)en. Sprich sie müssen von dieser Sicherheitslücke erfahren um explizit das ausführen von VLC zu verhindern denn die Installation von unbekannten Programmen ist ja standardmäßig auf jedem Firmen Rechner verboten. Daher wir ja insbesondere auf Firmenrechnern mit ihren alten Windows Versionen die keine aktuellen MKV Dateien abspielen können da sie weder .mkv kennen noch die Codecs dafür besitzen die Portable VLC Version Version genutzt die nicht installiert werden muss um trotzdem aktuelle Videos schauen zu können.

Aufwand jedoch hin oder her. Aufgrund der Verbreitung von VLC ist das Risiko extrem hoch das nun nachdem diese Lücke offiziell wurde sie auch ausgenutzt werden wird. Insbesondere da der Otto Normal User nicht erwartet das eine 0815 Videos Datei ein Sicherheitsrisiko darstellt. Und sie selbst wenn sie modifiziert wurde, für sich alleine mit anderen Playern harmlos ist/bleibt.

Daher wundert es mich das VideoLAN.org nicht schon darauf reagiert hat sie zu schließen bevor diese Sicherheitslücke an die Öffentlichkeit gelangt ist. Da sie massiv dem Image des Players schadet solange sie nicht gefixt ist da der einzige Schutz darin besteht den Player nicht mehr zu nutzen bzw. zu deinstallieren. Damit er in den Systemen nicht mehr der Standard Player für Videos ist. Denn der 0815 DAU weis nicht mal wie er das ändert ohne die Deinstallation!