News VLC Media Player: Sicherheitslücke betrifft nur veraltete Versionen

[Arcturus128]

Genau deshalb ist es einfach Mist, wenn Informationen mit Berufung auf eine Quelle ungeprüft übernommen werden. So verbreiten sich Falschnachrichten in Windeseile.

 

[Zero_Point]

Die Quellen dieser falschen Infos war ja nicht irgendeine obskure Website, Gerüchte in Sozialen Medien oder so was. Es waren das BSI und CERT, die so krass daneben gelegen haben.
Ich finde nicht, dass man RYZ3N oder Computerbase da einen großen Vorwurf machen kann, diese seriösen Quellen nicht extra kritisch hinterfragt zu haben.

Naja, das BSI hat öfters mal merkwürdige Warnungen und Empfehlungen. Liegt vielleicht daran, dass es eine Bundesbehörde ist, deren Kompetenz generell eher zu wünschen übrig lassen.
Ich muss Golem in dem Punkt Recht geben, dass offenbar niemand versucht hat, das Ganze mithilfe der zur Verfügung gestellten Videodatei zu reproduzieren. Dann wäre aufgefallen, dass die Reproduktion gar nicht so einfach ist. Bei einem Autor wohl deshalb, weil er das für nicht seriös genug hielt, obwohl sie über die Quellen verlinkt wurde.
Und da sind wir wieder an dem Punkt, wo versäumt wurde, diese Datei zu erwähnen. Und auch an dem Punkt, welche Quelle besagt, dass das BSI zur Deinstallation rät. Ist daran auch das BSI schuld?

Es wäre allerdings sehr interessant, wenn jemand recherchieren könnte, wie es dazu kam, dass eine Bundesbehörde und eine auf IT-Sicherheit spezialisierte Experten-Gruppe sich derartig geirrt haben und wie sie das in Zukunft verhindern wollen.
Das kratzt jetzt ja doch etwas an der Glaubwürdigkeit dieser Institute, auf die man sich eigentlich verlassen können muss. Nicht dass die nächste echte Warnung ignoriert wird.

Das BSI bezog sich auf das National Institute of Standards and Technology (USA). Warum man es jedoch nicht selbst nachgeprüft hat (das NIST hat ja auf den Bugtracker mit der Videodatei verlinkt), ist durchaus merkwürdig. Denn dann hätten sie dazu schreiben müssen, dass sie das nicht reproduzieren konnten.

 

[deo]

libebml.dll gibt es bei Power DVD und WinDVD.

 

[Labberlippe]

Hi

Ich verstehe das eingedresche auf den Autor nicht.
Die offizielle Meldung kam von BSI/Nist.
Es wäre auch Hilfreicher gewesen wenn die VLC Entwickler sich früher zu Wort gemeldet hätten.

Der Artikel wurde auch gepflegt.

Ich kann auch nicht erwarten, das CB jetzt hergeht und selbst alles durchtestet, was für div. Bugs bei den Programmen auf den Planeten anstehen, da fehlt die Zeit dann woanders...

VLC macht es sich auch ein bischen leicht.
Fairerweise hätten auch BSI/NIST etc im Vorfeld schon VLC darauf ansprechen sollen und nicht gleich die Meldung sinnfrei raushauen.

Ist meiner Meinung nach auch ein schlechter Stil Redakteure so anzugreifen.
Jeder der schon einmal täglich mehrere News schreibt oder geschrieben hat, weiss was dies für ein Aufwand ist, vorallem zu überprüfen ob es auch stimmt.

Hier kam es von den offiziellen Stellen zu falsch Infos mit deftigen Fehlern.
Da ist das nicht mehr so einfach.

Ausserdem hatte Golem auch die erste News drastischer geschrieben.
Jetzt Clickbait das alles überdramatisiert ist.

Gruss Labberlippe

 

[Mr.Seymour Buds]

Das war mal wieder so eine typische Panikmeldung, um die Welt in Angst und Schrecken zu versetzen! Remotefunktionen können genutzt werden!!!1! Dann kommt heraus, dass die Schwachstelle eigentlich nur mittels einer manipulierten Datei genutzt werden kann (dadurch wird ein Angriff schon mal sehr unwahrscheinlich). Zuletzt die Meldung, dass es sich um eine Bibliothek handelt, die das Problem darstellt und vergangene VLC Versionen dies längst gefixed haben....

 

[thrawnx]

Ich denke das BSI spricht mit seiner Wechselempfehlung an Kunden wenig den gut informierten ComputerBase Leser an.

So gut informiert waren wir wohl doch nicht, scheinbar hat sich keiner hier die Mühe gemacht den Fehler tatsächlich zu replizieren mit einer aktuelle Version...

Ich kann auch nicht erwarten, das CB jetzt hergeht und selbst alles durchtestet, was für div. Bugs bei den Programmen auf den Planeten anstehen, da fehlt die Zeit dann woanders...

Warum sollte man das nicht erwarten können? Das war jetzt nicht super kompliziert zu testen. In der Regel kann und sollte man von Medien schon erwarten dass sie ihre Fakten checken, nennt sich Journalismus, ist deren Beruf und dafür werden sie bezahlt.

 

[bertlinger]

Viel luft um nix....

 

[Euphoria]

Es wäre auch Hilfreicher gewesen wenn die VLC Entwickler sich früher zu Wort gemeldet hätten.

Gerade VLC musste die Meldung genau prüfen um wirklich sicher zu sein keine Falschinformationen zu verbreiten.
Hätten das auch die "Sicherheitsexperten" gemacht, wäre die Meldung gar nicht erst rausgekommen.

 

[Launebub]

Falschmeldungen sollen doch unterdrückt werden, da kann man beim BSI schon mal anfangen
Und zugleich mit einer Schadenszahlung drohen, wegen existensgefährdung ^^

 

[Marflowah]

Das sind ja schon Fakenews, die BSI und CERT da verbreitet haben. Da muss sofort die Staatssicherheit eingreifen. (Heißt doch so, oder? )

Letztlich wieder viel Lärm um nix.

 

[Haxor]

Absolut denkbar, eine false-flag Operation um die Nutzer auf unsichere oder datenschutztechnisch bedenkliche Player zu bringen.

Das sind ja schon Fakenews, [...]

Das ist keine Fakenews und auch keine Verschwörung... sondern die geballte und äußerst berüchtigte "beamtische" Inkompetenz.

 

[D708]

Das grenzt wirklich an Verleumdung.
Will garnicht wissen, aus welchen Quellen da Geld geflossen ist, um den VLC zu diskreditieren.

Allein, dass da keine Frist VLC gesetzt worden ist... aber wie auch. War ja schon gelöst. Ich hoffe die Verantwortlichen werden lang gemacht.



@CB kann passieren. Lieber Schlecht informiert als zu spät. Aus Fehlern lernt man. 3 sichere Quellen weniger.

 

[VoAlgdH]

Ließt sich hier weniger schlimm:
https://www.golem.de/news/videolan-eine-vlc-luecke-die-keine-ist-1907-142758.html

 

[Tuxgamer42]

Okay - also damit hatte ich jetzt wirklich nicht gerechnet...

Vor allem ernsthaft eine Sicherheitslücke derart hoch zu bewerten - ohne dass es auch nur irgendjemand für nötig erachtet hatte den Hersteller zu informieren?

Ungeachtet dessen muss ich aber auch sagen: Der Bug wurde vor 4 Wochen reportet. 4 Wochen hat das niemanden interessiert.
Hätte tatsächlich sein können, dass jemand eine Sicherheitslücke gefunden hat. Also mal Datei herunterladen und checken, ob sich der Fehler reproduzieren lässt dauert ja nicht so lange. Hätte man IMHO auch schon vor 4 Wochen machen sollen.

Gerade auch, weil öffentliche Bugreports natürlich auch von Kriminellen genau wegen so etwas gelesen werden.

 

[Neronomicon]

Ja lustig wars schon. Auch die sich hier im Thread so echauffiert haben.

 

[M_o_B]

So komplett unangebracht war die Aufregung ja nicht. Updates sind nötig. DieAussage VLC ist seit 3.0.3 bezieht sich ja nur auf diesen Fehler. Parallel gibt es ja in allen Versionen vor 3.0.7 eine auf der VLC Seite selbst beschriebene Sicherheitslücke https://www.videolan.org/security/sa1901.html
Die es seltsamerweise nicht zu soviel Aufmerksamkeit gebracht hat .

 

[Blueeye_x]

Diese Meldung hat mich zum SMPlayer getrieben.

Ein Zurück zum VLC gibt es für mich trotzdem nicht.

Da ich jetzt den SMPlayer allgemein besser finde

 

[Ultrapower]

Mag ja sein das die Sicherheitslücke im neuesten Release beseitigt worden ist.

Ich bin mir aber zu 100% sicher, dass die breite Masse noch die Version 2.x und die Anfangsversionen der 3er Serie benutzt! Daher ist diese Meldung meiner Meinung nach extrem wichtig gewesen.

Spätestens JETZT sollten die meisten ein Upgrade auf die 3.0.7.1 durchführen...

 

[boarder-winterman]

Tja ich hatte die automatische Updatefunktion aktiviert und trotzdem hat sich der VLC auf meinem Macbook nach Version 2.2.6 nicht mehr aktualisiert...
Habe ich gerade manuell nachgeholt, VLC ist eins der wenigen Programme, das ich nutze, das nicht im Mac App Store automatisch geupdatet wird.
Ich bin das gar nicht mehr gewöhnt manuell Software runterzuladen, echt nervig.

 

[itm]

Es lebe das Neuland - BSI, sometime 2k19...

Es ist so schön das man einfach mal als Behörde solche Empfehlungen ausspricht, nur weil deren eigener IT Dienstleister zu doof ist ninite zu verwenden...