News VLC Media Player: Sicherheitslücke betrifft nur veraltete Versionen

[drago-museweni]

War die ganze Meldung für die Katz, gut das ich mir das gleich gedacht habe aufgrund der Beschreibung, wollte nur wieder jemand VLC madig machen...

 

[CrunchTheNumber]

Vielleicht sendet VLC auch einfach nicht genug Daten "nach Hause", wer wann welche Videos sieht, und deshalb wird ein Umstieg "empfohlen"?

Gruß,
CTN

 

[dcdead]

Sie beschweren sich übrigens auch darüber, dass News Seiten den Vorwurf ungeprüft publizieren. Dazu gehört auch CB

Ja, das wurde hier im update aber verschwiegen

 

[Zapan90]

Der CVE Eintrag wurde bereits aktualisiert. Jetzt steht nur noch bis (ohne) Version 3.0.3 verwundbar, gegenüber vorher bis 3.0.7.1
Die Schilderung von VLC scheint also zutreffend

 

[MichaG]

Naja, als letztes Glied in der Kette geben wir den schwarzen Peter zuerst an MITRE und danach an CERT und BSI weiter.

Aber klar wäre es toll, wenn einer unserer unzähligen fest angestellten Sicherheitsexperten da vorher mal draufgeschaut hätte .. waren nur leider alle im Urlaub!

 

[Krautmaster]

da scheint einigen die Hitze etwas zu Kopf gestiegen zu sein

Ich finde das BSI darf man schon zitieren und aufgreifen. Ich mein, bei Spectre hat sicher auch nicht jede Seite den Fehler direkt reproduziert oder?

Bei der Aussage hinsichtlich "Alternative"... knapp 40°C eben.

 

[Hayda Ministral]

Sie beschweren sich übrigens auch darüber, dass News Seiten den Vorwurf ungeprüft publizieren. Dazu gehört auch CB

CB hat keinen Vorwurf publiziert sondern über eine Warnung des BSI/CERT berichtet.

Ergänzung (24. Juli 2019)

Wir sind ca. 5.000 Mitarbeiter groß, und aufgrund meines Jobs kann ich bestätigen das viele andere Firmen überwiegend noch XP bis Win10 als OS im Betrieb haben.

"Wir" sind noch deutlich größer als 5.000 Mitarbeiter und gerade mitten im Win10 Rollout. Aber was tun diese Einzelfallbeispiel noch gleich zur Sache wenn es um die nicht beweisbare Behauptung geht dass die Mehrzahl der Firmen noch auf XP/7 wäre? Richtig, die tun rein überhaupt nichts zur Sache wenn es um diese Behauptung geht.

 

[knilch247]

Jetzt wäre mal ein Statement des BSI interessant!

 

[sysrq]

@CB Ich verstehe ja das ihr den Institutionen da vertrauen müsst und das nicht alles weiter selbst untersuchen könnt. Aber in Anbetracht der Schwere und Reichweite dieser Falschmeldung, fände ich es gut wenn ihr die Richtigstellung nicht nur als Update der Meldung sondern prominenter als eigenen Artikel oder zumindest eines Wechsels der Überschrift veröffentlicht.

 

[MichaG]

Guter Einwand! Titel und Einleitung habe ich angepasst und auch ergänzt, dass auf der CVE-Seite inzwischen das Problem auf die Version 3.0.3 und frühere eingegrenzt wurde.

 

[BxBender]

Ja wie geil ist das denn?
Ich mach mir vor Angst in die Hose und installiere neue Software aufgrund diverser Foreneinträge - und dann das?!
Na ja, dann kann ich ja bei VLC bleiben, da weiß ich immerhin, wo ich hinzuklicken habe.
Aber danke für die News, sie war ja den Infos nach zumindest angemessen.
Für Fehlinformationen durch Andere kann man ja nichts.

 

[adius]

Solange es diese Lückenmeldungen gibt, also seit WIN 3.1 und den Anhängseln des Windows Universum habe ich noch nie eine Auswirkung der genannten Panikmacher gehabt. Mal ehrlich, die wenigsten werden mit dem Lücken ein Problem gehabt haben. Mal von einigen Spezialnutzern oder eben die besonderen Dummis die alles anklicken müssen was auf dem Bildschirm ist. Aber Medienwirksam ist es schon. Wie wäre es denn wenn man erstmal die Bedingungen die erfüllt sein müssen das eine Lücke wirksam wird beschreibt und dann Panik verbreitet. Aber das liest dann keiner.

 

[Discovery_1]

Ich gerate bei Meldungen wegen angeblicher Sicherheitslücken bei Programmen auch immer schnell in Panik, passiert ist aber noch nie etwas. Ich habe vor Jahren mal mein Windows XP über mehrere Monate nicht mit Updates versorgt (Systemfehler, nicht meiner) und auch da ist nichts böses Geschehen. Ich sollte mal ruhiger werden und mich mehr entspannen. Kann ich den VLC ja wieder beruhigt anschmeissen, auch wenn ich den Player eh nur noch für Musik nutze.

 

[DJMadMax]

Artikel-Update: Relativ spät hat VideoLAN heute via Twitter Stellung bezogen und die Berichte um die Sicherheitslücke im Medienplayer VLC vehement zurückgewiesen. Der Player selbst sei gar nicht betroffen, vielmehr betreffe das Leck die Software-Bibliothek libebml eines Drittanbieters. Das Problem mit dieser Bibliothek sei bereits vor gut 1,5 Jahren mit Veröffentlichung von VLC 3.0.3 behoben worden.

In der Tat kommt das sehr spät, aber unterm Strich ist es erfreulich, dass der Entwickler selbst hier endlich ein wenig Licht in's Dunkel bringt.

Dass die angesprochene Organisation ihrerseits im Vorfeld scheinbar nicht einmal Kontakt mit den VLC-Entwicklern aufgenommen hat, ist das eigentliche Armutszeugnis an dieser ganzen Misere.

Es ist genau so, wie @konkretor es in seinem Link von Golem erwähnt, wo es dort heißt:

Ein eher unbedeutender Fehler in einer Abhängigkeit des VLC-Players wird von Behörden fälschlich als schwere Sicherheitslücke klassifiziert und viele Medien übernehmen dies ungeprüft. Das Videolan-Projekt ist nicht erfreut.

Und genau DAS hat Sven aka @RYZ3N in dieser News von Anfang an nicht machen wollen und trotzdem wurde vehement auf ihn eingedroschen, wieso er gewisse Informationen (die sich nun als eindeutig FALSCH herausgestellt haben) nicht in seine News übernehmen wollte.

Vielen Dank an Sven für das erneute Artikel-Update!

 

[halbtuer2]

Es hätte eigentlich im ersten Artikel noch eine Empfehlung der/ des BSI gefehlt, den selbstprogrammierten BSI- Player anstatt VLC zu installieren und zu benutzen.
Damit wäre dann vermutlich ein direkter Draht zu dubiosen Überwachern sicher gestellt.

Keine Ironie dieses Mal.

VLC bleibt für mich, was er immer war: erste Wahl

 

[Launebub]

Vor 1,5 Jahren wurde es gefixt, da hat die Behörde aber mega gepennt. Nutzen bestimmt noch Windows XP

 

[pseudopseudonym]

Vor 1,5 Jahren wurde es gefixt, da hat die Behörde aber mega gepennt. Nutzen bestimmt noch Windows XP

Solche "Experten" gibt es auch hier, in einem fachnahen Forum.
Malware fangen sich nur die anderen ein!
Und wo kommen eigentlich die Botnetze her?

 

[Zero_Point]

Und genau DAS hat Sven aka @RYZ3N in dieser News von Anfang an nicht machen wollen und trotzdem wurde vehement auf ihn eingedroschen, wieso er gewisse Informationen (die sich nun als eindeutig FALSCH herausgestellt haben) nicht in seine News übernehmen wollte.

Stimmt, er hat nach exzellenter Recherche mächtig viel Panik vertrieben indem er nur die FALSCHEN Infos verbreitet hat, die das Ganze möglichst schlimm darstellen. Im Gegensatz zu Heise.

 

[Herdware]

Stimmt, er hat nach exzellenter Recherche mächtig viel Panik vertrieben indem er nur die FALSCHEN Infos verbreitet hat...

Die Quellen dieser falschen Infos war ja nicht irgendeine obskure Website, Gerüchte in Sozialen Medien oder so was. Es waren das BSI und CERT, die so krass daneben gelegen haben.
Ich finde nicht, dass man RYZ3N oder Computerbase da einen großen Vorwurf machen kann, diese seriösen Quellen nicht extra kritisch hinterfragt zu haben.

Es wäre allerdings sehr interessant, wenn jemand recherchieren könnte, wie es dazu kam, dass eine Bundesbehörde und eine auf IT-Sicherheit spezialisierte Experten-Gruppe sich derartig geirrt haben und wie sie das in Zukunft verhindern wollen.
Das kratzt jetzt ja doch etwas an der Glaubwürdigkeit dieser Institute, auf die man sich eigentlich verlassen können muss. Nicht dass die nächste echte Warnung ignoriert wird.

 

[T_55]

Vielleicht sendet VLC auch einfach nicht genug Daten "nach Hause", wer wann welche Videos sieht, und deshalb wird ein Umstieg "empfohlen"?

Absolut denkbar, eine false-flag Operation um die Nutzer auf unsichere oder datenschutztechnisch bedenkliche Player zu bringen. Würde auf jeden Fall gut in unsere Zeit passen. Das eine solche Firma die Blaupause für deutsche Behörden liefert die wiederum das gleiche forciert... leider auch nichts neues.