News VLC Media Player: Sicherheitslücke betrifft nur veraltete Versionen

[Rolf_RR]

@Herdware

hier der tweet. bild dir selbst die meinung was falsch gelaufen sein könnte

 

[Zero_Point]

Sicher. Nur hätte es den VLC-Nutzern und -Entwicklern wenig geholfen.

Selbstverständlich ist ihnen damit zumindest mehr geholfen, als wenn 1:1 die Warnung übernommen wird. Der (versierte) Nutzer kann sich seine eigenen Gedanken dazu machen und wird dann viel eher eigene Nachforschungen antreten, um sich ein genaueres Bild der Situation zu machen.

Auf die Quelle der

offizielle[n] Empfehlung von BSI und Co., bis auf weiteres VLC nicht zu nutzen und gegebenenfalls auf Alternativen zu wechseln

warten wir bis heute. Da stand nämlich nichts davon bei CERT.

Und was dann?
Überhaupt nicht über die Warnmeldung berichten, weil man selbst die Sicherheitslücke nicht nachvollziehen konnte? Oder gar aktiv Entwarnung geben?

Nein, die Warnmeldung um die eigenen Erkenntnisse ergänzen. Nennt sich Journalismus. Das ist genauso wenn man einfach nur die Pressemappe für ein Produkt abschreibt. Das ist auch kein Journalismus.

 

[L34tSp34k]

Selbstverständlich ist ihnen damit zumindest mehr geholfen, als wenn 1:1 die Warnung übernommen wird. Der (versierte) Nutzer kann sich seine eigenen Gedanken dazu machen und wird dann viel eher eigene Nachforschungen antreten, um sich ein genaueres Bild der Situation zu machen.

Auf die Quelle der

warten wir bis heute. Da stand nämlich nichts davon bei CERT.


Nein, die Warnmeldung um die eigenen Erkenntnisse ergänzen. Nennt sich Journalismus. Das ist genauso wenn man einfach nur die Pressemappe für ein Produkt abschreibt. Das ist auch kein Journalismus.

1. Wie wäre denn damit den Entwicklern geholfen? Was sind versierte Nutzer? Ich unterstelle deinen versierten Nutzern nämlich, dass diese sich nicht näher mit IT-Sicherheit oder solchen Lücken auskennen. Was also würden diese dann tun?

2. Du meinst wohl das CERT Advisory. Da steht das nicht. Aber wenn du die CERT abonniert hättest, hättest du auch eine Email von denen bekommen

3. Keine normale Redaktion der Welt kann diese Lücken selber überprüfen. Da fehlt einfach das Fachwissen und die Zeit dazu. Wie oft noch?

 

[Zero_Point]

1. Wie wäre denn damit den Entwicklern geholfen? Was sind versierte Nutzer? Ich unterstelle deinen versierten Nutzern nämlich, dass diese sich nicht näher mit IT-Sicherheit oder solchen Lücken auskennen. Was also würden diese dann tun?

2. Du meinst wohl das CERT Advisory. Da steht das nicht. Aber wenn du die CERT abonniert hättest, hättest du auch eine Email von denen bekommen

3. Keine normale Redaktion der Welt kann diese Lücken selber überprüfen. Da fehlt einfach das Fachwissen und die Zeit dazu. Wie oft noch?

1. Den Entwicklern: weniger Panikmache.
Wenn du den versierten Nutzern nichts zutraust, dann wäre die einzig richtige Warnung des BSI: "vernichten Sie ihre komplette IT!"

2. Hat denn der Autor das abonniert? Offensichtlich nicht, denn sonst hätte er diesen Umstand erwähnt.

3. Wenn du meinst. Heise sagt das Gegenteil. Auch über sich selbst.

 

[Ultrapower]

Danke, ich habe herzlich gelacht.

Was gibt es da bitteschön zu lachen?!

Viele Leute (Standard User) haben den VLC Player vor 1-2 Jahren mal installiert und dann wird das so weiterbenutzt.

Ich bin mir sicher, dass viele noch die Version 2.x nutzen. Selbst alles unter 3.0.3 ist betroffen und dann steigt die User Zahl der potenziell Betroffenen.

 

[new Account()]

Viele Leute (Standard User) haben den VLC Player vor 1-2 Jahren mal installiert und dann wird das so weiterbenutzt.

Ist das so?
Es gibt bei Updates ein PopUp -> udpaten dürfte nicht so schwer sein.

Bei mir jedenfalls ist VLC UpToDate, obwohl ich ihn sehr selten verwende (ggü. Groove Music und Filme und TV einfach grässliche GUI)

 

[Ultrapower]

Ja du oder Zeropoint. Technisch versierte wie ihr es seid, machen ständig Updates das glaube ich!

ABER der Standard User lässt alles so wie es ist (bis auf die erzwungenen Windows Updates)


Hier schau mal in die offizielle VLC Download Statistik:

https://www.videolan.org/vlc/stats/downloads.html

Du wirst sehen, dass die 2.x Versionen DEUTLICH mehr vertreten sind (unter der breiten Masse von Standard Usern) als die 3.x

 

[Zero_Point]

Was gibt es da bitteschön zu lachen?!

Deine Naivität. Als ob die Masse diese Meldung auch nur im Ansatz interessiert.

 

[L34tSp34k]

1. Den Entwicklern: weniger Panikmache.
Wenn du den versierten Nutzern nichts zutraust, dann wäre die einzig richtige Warnung des BSI: "vernichten Sie ihre komplette IT!"

2. Hat denn der Autor das abonniert? Offensichtlich nicht, denn sonst hätte er diesen Umstand erwähnt.

3. Wenn du meinst. Heise sagt das Gegenteil. Auch über sich selbst.

1. Wenn die Redaktion das prüft ist immer noch nicht sichergestellt, dass auch wirklich keine Lücke vorhanden ist. Was wäre dann wenn die Redaktion empfiehlt, alles sei in Ordnung und dann ist doch eine Lücke?

Ich trauen den versierten Nutzern keine IT-Sicherheitsprüfung von RCEs zu das stimmt. Das ich diesen "nichts zutraue" war eine Unterstellung von dir.

2. Haben das die anderen so explizit erwähnt? Warum muss das erwähnt werden?

3. Heise haben sich auf IT-Sicherheit spezialisiert. CB auch?

 

[new Account()]

Hier schau mal in die offizielle VLC Download Statistik:

https://www.videolan.org/vlc/stats/downloads.html

Du wirst sehen, dass die 2.x Versionen DEUTLICH mehr vertreten sind (unter der breiten Masse von Standard Usern) als die 3.x

Kann genauso dadurch kommen, dass VLC weniger benutzt wird - z.B. weil Windows moderne und für viele Menschen ausreichende vorinstallierte Alternativen bietet.
Oder daran, dass ältere Versionen länger die aktuellste Version sind.

Kurz gesagt: Die Statistik sagt nichts darüber aus, ob die User eher up to date sind oder nicht.

 

[Nutzerkennwort]

Auf https://tarnkappe.info/vlc-media-player-sicherheitsluecke-laengst-behoben/ wird berichtet, dass die Lücke von VLC bereits vor vielen Monaten geschlossen wurde.

 

[Zero_Point]

1. Wenn die Redaktion das prüft ist immer noch nicht sichergestellt, dass auch wirklich keine Lücke vorhanden ist. Was wäre dann wenn die Redaktion empfiehlt, alles sei in Ordnung und dann ist doch eine Lücke?

Ich trauen den versierten Nutzern keine IT-Sicherheitsprüfung von RCEs zu das stimmt. Das ich diesen "nichts zutraue" war eine Unterstellung von dir.

2. Haben das die anderen so explizit erwähnt? Warum muss das erwähnt werden?

3. Heise haben sich auf IT-Sicherheit spezialisiert. CB auch?

1. du bist der Einzige, der von einer Empfehlung von Redaktionen spricht

2. haben die anderen denn geschrieben, dass das BSI eine Alternative empfiehlt? Selbst wenn, wird dadurch schlechter Journalismus plötzlich gut, weil alle schlecht sind?

3. Du brauchst keine große Spezialisierung dazu. Ansonsten kann man beim Hersteller um eine Stellungnahme bitten. Bei anderen Meldungen wird das seltsamerweise gemacht.
Wenn man von dem über das man als Journalist schreibt keine Ahnung hat, dann sollte man darüber vielleicht besser gar nicht erst schreiben.

 

[Ultrapower]

Kann genauso dadurch kommen, dass VLC weniger benutzt wird - z.B. weil Windows moderne und für viele Menschen ausreichende vorinstallierte Alternativen bietet.
Oder daran, dass ältere Versionen länger die aktuellste Version sind.

Kurz gesagt: Die Statistik sagt nichts darüber aus, ob die User eher up to date sind oder nicht.

Guck dir die Statistiken an. Videolan wird ja ihre eigenen Statistiken nicht gefälscht haben.

Die breite Masse nutzt immer noch VLC 2.x

Deine Naivität. Als ob die Masse diese Meldung auch nur im Ansatz interessiert.

Die Masse nutzt aber noch Versionen VOR 3.0.3 und damit ist die breite Masse dem Sicherheitsrisiko ausgesetzt!

 

[new Account()]

Guck dir die Statistiken an. Videolan wird ja ihre eigenen Statistiken nicht gefälscht haben.

Die breite Masse nutzt immer noch VLC 2.x

VLC download statistics

sagen nichts über die Nutzung aus - sh. Erklärung oben.

 

[Zero_Point]

Guck dir die Statistiken an. Videolan wird ja ihre eigenen Statistiken nicht gefälscht haben.

Die breite Masse nutzt immer noch VLC 2.x

Dann zeig mir bitte die offizielle Nutzungsstatistik.
EDIT: war jemand ein paar Sekunden schneller.

Die Masse nutzt aber noch Versionen VOR 3.0.3 und damit ist die breite Masse dem Sicherheitsrisiko ausgesetzt!

Und trotzdem interessiert es breite Masse kein bisschen, ob sie einem Sicherheitsrisiko ausgesetzt ist.

 

[L34tSp34k]

1. du bist der Einzige, der von einer Empfehlung von Redaktionen spricht

2. haben die anderen denn geschrieben, dass das BSI eine Alternative empfiehlt? Selbst wenn, wird dadurch schlechter Journalismus plötzlich gut, weil alle schlecht sind?

3. Du brauchst keine große Spezialisierung dazu. Ansonsten kann man beim Hersteller um eine Stellungnahme bitten. Bei anderen Meldungen wird das seltsamerweise gemacht.
Wenn man von dem über das man als Journalist schreibt keine Ahnung hat, dann sollte man darüber vielleicht besser gar nicht erst schreiben.

1. Du erwartest doch , dass die Redaktion nicht Copy Pastet und sowas nachprüft. Und ich sage dir wie viele Andere auch, dass die Redaktion das nicht kann. Auch wenn die irgendwelche Videos aufmachen, welche den VLC segfaulted ist das kein Beweis für eine Lücke. Was ist daran so schwer zu verstehen?

2. Ja andere haben das auch so erwähnt. Wüsstest du hättest du andere Berichte gelesen dazu. Da du so einer bist, der dann auch "Beweise" will. mal ein Beispiel: https://www.gamestar.de/artikel/cert-und-bsi-warnen-vor-vlc-media-player-3071,3346849.html

3. Doch man brauch IT-Security Erfahrung um das zu verifizieren. Heise hat da Leute dazu und CB(andere Redaktionen) hald nicht. Den Tipp mit keine Ahnung haben und etwas zu schreiben solltest du beherzigen.

 

[new Account()]

3. Doch man brauch IT-Security Erfahrung um das zu verifizieren. Heise hat da Leute dazu und CB(andere Redaktionen) hald nicht. Den Tipp mit keine Ahnung haben und etwas zu schreiben solltest du beherzigen.

Aber klar wäre es toll, wenn einer unserer unzähligen fest angestellten Sicherheitsexperten da vorher mal draufgeschaut hätte .. waren nur leider alle im Urlaub!

 

[L34tSp34k]

Soll das Ironie sein von dir? Ich glaube eher du hast dann die Ironie von Micha nicht verstanden

 

[Zero_Point]

1. Du erwartest doch , dass die Redaktion nicht Copy Pastet und sowas nachprüft. Und ich sage dir wie viele Andere auch, dass die Redaktion das nicht kann. Auch wenn die irgendwelche Videos aufmachen, welche den VLC segfaulted ist das kein Beweis für eine Lücke. Was ist daran so schwer zu verstehen?

2. Ja andere haben das auch so erwähnt. Wüsstest du hättest du andere Berichte gelesen dazu. Da du so einer bist, der dann auch "Beweise" will. mal ein Beispiel: https://www.gamestar.de/artikel/cert-und-bsi-warnen-vor-vlc-media-player-3071,3346849.html

3. Doch man brauch IT-Security Erfahrung um das zu verifizieren. Heise hat da Leute dazu und CB(andere Redaktionen) hald nicht. Den Tipp mit keine Ahnung haben und etwas zu schreiben solltest du beherzigen.

1. Ich erwarte, dass alle allgemein zur Verfügung stehenden Infos auf den Tisch gelegt werden und der Redakteur seinen Kopf nicht nur als Hutständer nutzt, sondern auch zum nachdenken. Das wurde hier nicht gemacht und fängt schon damit an, dass es höchstwahrscheinlich eine präparierte Datei braucht, um die Lücke auszunutzen.

2. hast du auch eine halbwegs seriöse Redaktion? Und wenn ja, inwiefern macht es das besser. Und v.a. woher weißt du, dass die nicht bei einer anderen Redaktion alles abgeschrieben haben?

3. Aha, jetzt braucht es schon Spezialisten, um beim Hersteller nachzufragen. Und wenn ein Journalist keine Ahnung von der Materie hat, soll er einfach irgendwas schreiben nur um mit den anderen mitzuschwimmen? Ein Hoch auf den Qualitätsjournalismus. Da muss man sich nicht wundern, dass das so seinen Lauf genommen hat.

 

[Decorus]

1. Den Entwicklern: weniger Panikmache.

Dann hätten die Entwickler in den 4 Wochen die das Ding im Tracker war halt einmal posten sollen, dass sie es nicht mit der neuesten Version reproduzieren können.