News VLC Media Player: Sicherheitslücke betrifft nur veraltete Versionen

[PiraniaXL]

Der VLC ist wohl auch so beliebt, weil man keine extra Codec installieren muss.

Bei den meisten anderen Player schon.

 

[Garack]

laut bugreport geht es um einen "heap-buffer-overflow" in "demux.cpp when called from mkv::Open".
Also muss der User eine manipulierte Datei abspielen, um betroffen zu sein.

Das ist die entscheidende info die mal wieder in den Artikel ( wie in vielen über Malware) fehlt.Was ist das eingangs tor..Danke!

 

[Zero_Point]

...daher auch gerechtfertigt die News mit Klickbait-Artikel das es auch jeder Dödel der mit PCs etwas zu tun in den Kopf bekommt die Software aktuell zu halten.

Wer vor Warnungen zu Flash, Acrobat, Windows, Java, Browsern und anderen Programmen bislang nicht reagiert hat, wird es beim VLC erst recht nicht machen. Clickbait also vollkommen ungerechtfertigt, da es ohnehin keine Lösung in Form eines Updates anbietet.

Was der ein oder andere hier [und damit meine ich nicht dich] hier mal begreifen muss, weder ich noch ComputerBase warnen hier vor der Nutzung des VLC Media Players, sondern das BSI und CERT.

Wir [und in dem Fall ich] bringen die News und ich habe als Quelle ja nicht ohne Grund nicht etwa Heise angegeben sondern den Bericht des CERT. Da kann sich doch ein jeder ein Bild der über die tatsächliche Bedrohung machen.



Tut mir Leid, aber was du da sagst und deine Argumentation dahinter ist völliger Blödsinn. Die News besagt einzig dass das BSI und das CERT empfehlen VLC zu meiden und durch einen anderen Media Player zu ersetzen und das ist ein Fakt.

BSI und CERT geben exakt diese Empfehlung, nicht ich, nicht ComputerBase.

Für jeden der sich tiefergehend informieren will habe ich sowohl die BSI als auch CERT und zudem die NVD Quelle angegeben.

An Mutmaßungen beteilige ich mich dennoch nicht, tut mir leid.

C(lick)B(ase)/du übernimmt das von CERT unreflektiert ohne sich selbst darüber Gedanken zu machen. Das ist kein schlechter Journalismus, es ist gar kein Journalismus, denn bloßes abschreiben konnte in der Schule schon jeder. Denn besagte Info hättest du gar nicht bewerten müssen. Hättest sogar dazuschreiben können, dass es keine Empfehlung seitens CB ist.
Ich frage mich ernsthaft, warum du nach der Überschrift als Artikeltext nicht einfach geschrieben hast:
"Alles dazu siehe Quelle". Dann wird der Leser wenigstens dazu gezwungen sich richtig darüber zu informieren, anstatt aufgrund fehlender wichtiger Informationen zur Meinungsbildung von CB in die Irre geführt zu werden. Ich frag mich was du schreibst wenn das BSI empfiehlt Windows nicht mehr zu nutzen. Gehen dann bei CB die Lichter aus?

Es gibt aber schon noch einen Unterschied zwischen einer eventuell falschen Entwarnung vor einer Sicherheitslücke mit Konsequenzen und der Publikation von glaubwürdigen Gerüchten (da aus Herstellerkreis und intern eh bestätigt) über neue CPUs, die im schlimmsten Fall halt falsch sind aber keine Konsequenzen mit sich bringen.

Wenn du so große Angst vor eigenständigem Denken wegen der Folgen auf deine Sicherheit hast, empfehle ich dir deine komplette IT zu entsorgen. Du wirst wohl kaum eine Firma mit hochsensiblen Daten oder 100%er Zuverlässigkeit der IT sein.
Und wer entscheidet eigentlich ob ein Gerücht glaubwürdig ist? Da gab es schon viele Enten. Und seit wann sind Gerüchte annähernd Fakten?

Man sollte meinen Heise kennt sich mit IT aus...

Das ist alles andere als eine reine Vermutung. Hier ist der Vulnerability Report, welcher durch das VLC Team bestätigt wurde: https://hackerone.com/reports/484398
VLC hat es übrigens als "Medium severity impact" eingestuft.

Das scheint sich aber auf etwas anderes zu beziehen. Der Eintrag zu deinem Link:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-5439

Die "aktuelle" Lücke:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-13615

 

[AleksZ86]

Wer nutzt eigentlich noch den VLC?

1. Die Oberfläche ist grauenhaft!
2. Die Einstellungen sind mehr als dürftig
3. Plugins sind outdate wenn es denn überhaupt welche gibt die "nützlich" sind!
4. usw..

ich nutze ihn nur noch sehr selten, die meisten videos werden auf der shield mit kodi abgespielt.
aber mir hat damals als ich ihn noch genutzt habe nichts gefehlt.

Oberfläche: Ist für mich für einen VideoPlayer vernachlässigbar - ich will mir ja die Videos und nicht die Oberfläche vom Player ansehen
Einstellungen: Ich musste nichts ändern
Plugins: Hab keine benötigt

 

[ncc1977d]

VLC nutzte ich nur für meine WLAN Kamera, ansonsten regiert "PotPlayer" meinen Videokonsum. ;-)
Und es gibt sehr schöne Skins für den Player...

 

[Gullwoop]

Hui, bin grade erst über diesen Artikel gestolpert. Danke ersteinmal für die Warnung/Hinweis im Artikel. Ich bin da nicht wirklich auf dem laufenden.

Ich nutze den VLC nun schon seid ... so vielen Jahren dass ich gar nicht mehr weiß wie lange nun genau. Nebenbei nutze ich manchmal auch den SMPlayer (kenne diesen von der Arbeitsstelle - unter Linux).

Einen Grund zum Wechsel sehe ich nun aber nicht (was ich eher aus manchen Reaktionen von hier ableite). Ich habe bisher aber auch noch nie etwas mit den Playern gestreamt (weiß auch nicht wie das geht und habe ich bisher auch noch nicht gebraucht). Ich hatte mich mal nach einer Alternative umgeschaut als es mal dieses große Update beim VLC gab (ich glaube das war als von Version 2.8 auf Version 3.0 gesprungen wurde) ... gefunden atte ich aber keine die mir wirklich zusagte. Ich schätze am VLC grade dieses klassische und unüberfrachtete Design (ja - bin da wohl anders) und spiele z.B. gerne Musikvideos etwas schneller ab (Abspielgeschwindigkeit auf 1.04-1.12). Z.B. beim Media Player Classic CE war es dann so dass das in einer Mickey-Mouse Stimme ausartete (was ich grade nicht möchte). Der VLC leistet da gute Dienste.

Seit dem VLC Update auf Version 3.0 funktioniert bei mir leider der Filter zum schärfen und der Farbkorrektur der Videos nicht mehr richtig (ging unter 2.8 noch super). Da hängt sich der ganze Player bei mir auf. Das wäre min einziges Manko am VLC.

Ich hatte mich, wie gesagt, bei einigen Playern als Alternative umgesehen und darunter war auch der hier genannte PotPlayer. Allein die Herstellerseite wirkt irgendwie schon suspekt auf mich. Das Teil habe ich dann auch erst gar nicht heruntergeladen.

Was ich auch immer schlimmer finde ist dass man ersteinmal auf etliche Drittseiten kommt ... wenn man mal z.B. nach einem Player sucht und dort dann z.B. von Chip & Co. die Sachen herunterlädt (was manchen wohl nicht klar ist dass das nicht die Herstellerseite ist - habe ich schon selbst erlebt dass einige das gar nicht wissen oder wissen wollen). Oftmals scheinen die dort angebotenen Dateien nicht mit denen der Herstellerseite übereinzustimmen. Und leider ist es dort auch recht oft nicht auf den ersten Blick ersichtlich wie die offizielle Herstellerseite überhaupt heißt (da durch Weiterleitungen verdeckt).

Kann daher ja nicht schaden die Links hier nochmal aufzuschreiben:
VLC = https://www.videolan.org/
SMPlayer = https://www.smplayer.info/
Auf beiden Seiten findet man auch jeweils den dazugehörigen Hash, die Quersumme, zu der Datei (was ich persönlich immer sehr wichtig finde).

 

[Ozmog]

Ehrlich gesagt bin ich inzwischen nicht mehr so sehr überzeugt von VLC, obwohl es seit einigen Jahren bei mir zum Standardrepertoire auf sämtlichen Rechnern gehörte. Hatte aber vor kurzem eine Mediendatei, die VLC nicht mehr einwandfrei wiedergegeben hat, war immer ein Stottern drin. Kodi hat sie butterweich abgespielt. Naja, so oft brauche ich keinen Mediaplayer mehr, da ist es dann auch nicht so relevant.

Die Info, wie denn ein Zugriff entstehen könnte, wäre echt sehr hilfreich im Artikel. Kurz hab ich mich gefragt, ob ich VLC jetzt überall deinstallieren muss. Es gibt so viele Bedingungen, die ein Zugriff über eine Lücke ermöglichen könnte, da muss man es schon irgendwo erwähnen, wie die Lücke ausgenutzt werden kann....

 

[MaverickM]

Was wären denn empfehlenswerte Alternativen neben "Media Player Classic"?

Ich nutze KMPlayer. Keine Ahnung, wie es bei dem Sicherheitstechnisch aussieht, aber funktional ist er meiner Meinung nach VLC meilenweit überlegen. Auch die Oberfläche ist nicht direkt zum Brechen.

 

[Gullwoop]

@Ozmog
Vielleicht hilft dir ja der angehängte Screen. Das hatte ich mir mal so notiert da ich mich gewundert hatte warum ein 4k-Video bei mir so schlecht lief. Als ich das deaktivierte lief es einwandfrei und ohne stottern.

 

[LuckyMagnum]

Hab mal den MPC ausprobiert und bin absolut begeistert. VLC muss nicht mehr sein.

 

[Scoty]

Ich nutze denn MPC HC seit erster Stunde welcher alles kann was der VLC auch kann und ist dabei schlanker.

 

[Teiby]

Bin noch bei 2.x weil der 3.x zu viele Fehler hat.

 

[Galde]

Ich nutze seit längerem u. a. wegen seiner tollen Zoomfunktionen für Videos nur noch den SMPlayer. VLC nur noch für Audio.

• SMPlayer

Smplayer ist KEIN Player, sondern nur eine GUI für mpv oder mplayer!

Wann wird eine kritische Sicherheitslücke im Media Player Classic gefunden und die Leute raten dann zum VLC? Wetten werden noch angenommen....

Ich kenne nicht einen einzigen der jemals VLC empfohlen hätte, ausser welche die von Computersoftware keinen echten Plan haben (Computerbild als Beispiel kann ich mich erinnern vor Jahren), da dieser schon immer einen eher miesen Ruf hatte zwar vieles zu können aber nix richtig. Und auch eher schlechte Programmierung hat.

Persönlich nutze ich schon seit Jahren nur noch den MPV ohne GUI, welche eine Neuentwicklung von MPlayer2 ist, welcher wiederum eine Abspaltung von Mplayer war.
MPV ist hier von auch der einzige der noch aktiv weiter entwickelt wird, Mplayer2 wurde mit Start von MPV eingestellt, und Mplayer erhält primär nur noch Fixes.

 

[konkretor]

Wo schreibt der BSI in dem Link man solle eine alternative nutzen? Welche Alternative empfehlen sie?
Habe den BSI Link angeschaut da wird nur die Schwachstelle beschrieben.
Manchmal habe ich echt das Gefühl der BSI arbeitet gegen einen....

Edit:

Was für ein Wind um nix.

Es gibt ja sogar schon einen Fix der zu 60% fertig ist. sprich es ist eine Frage der Zeit bis der Patch kommt.

https://trac.videolan.org/vlc/ticket/22474

Bitte gehen Sie weiter es gibt nix zu sehen. Eine Normale Lücke wie es jede andere Software auch hat.

Kann jeder hier selber nach lesen

https://nvd.nist.gov/general/nvd-dashboard

 

[Novasun]

Lol... Wechseln - wieso denn? Welche Community wird denn schneller einen Fix bringen als die von VLC? Und da so Aussagen wie - wer nutzt den noch... Sorry da sind viele der hier genannten Alternativen wohl deutlich mehr Nische... Da gibt's dann "keine" Lücken weil keiner nach sucht...

Ergänzung (21. Juli 2019)

Smplayer ist KEIN Player, sondern nur eine GUI für mpv oder mplayer!



Ich kenne nicht einen einzigen der jemals VLC empfohlen hätte, ausser welche die von Computersoftware keinen echten Plan haben (Computerbild als Beispiel kann ich mich erinnern vor Jahren), da dieser schon immer einen eher miesen Ruf hatte zwar vieles zu können aber nix richtig. Und auch eher schlechte Programmierung hat.

Was geht denn beim VLC nicht? Der läuft, schluckt alles... In der Praxis kann ich ihn nur empfehlen...

 

[usb2_2]

Wenn du so große Angst vor eigenständigem Denken wegen der Folgen auf deine Sicherheit hast,

Was an meiner Aussage verleitet dich denn zu diesem Schluss? Ich kann dir nicht ganz folgen.

Bei einer Sicherheitslücke kann im schlimmsten Fall nunmal was passieren und wenn jetzt hier bei CB gesagt wird, dass die ja gar nicht schlimm ist suchen die Nutzer dann zuerst hie die Schuld. Das sollten CB und @RYZ3N dann schon vermeiden.

Aber wie bereits geschrieben halte ich persönlich diese Warnung für Quatsch, da sie nicht wissen, ob es das Problem in 3.0.7.1 noch gibt (steht auch so im Text) aber davor warnen. Es gibt sogar im Bugreport an VLC die Angabe, dass es mit 3.0.7 gefixt werden sollte (sofern das genau der gleiche Bug ist). Eine Warnung vor 3.0.7.1 ist für mich also nicht nachvollziehbar.

 

[syfsyn]

nun alternativen gibs kaum welche
wmp ist outdated bzw ms player sendet Nutzungsdaten
real player ist ne adware
divx ist shareware
kmplayer isn virenschleuder
danach komme nur kostenpflichtige
Die was taugen

Kurz wenn der bug gefixt ist und das sieht danach aus ist das wieder Panikmache zu dem einzigen opensource videoplayer am markt
alle anderen haben nicht überlebt oder sind gnadenlos addware und scareware.
Der mpc classic ist eol seit min 4 Jahren

 

[Scoty]

Der MPC ist nicht eol. Wird weiter entwickelt und ist bei weiten besser als der VLC zumindest für mich. Aber die VLC Fanboys sind halt beschränkt in ihrer Ansicht.

 

[zett0]

Ich finde den Artikel ganz schön schwach und solche Formulierungen wie „Kein Sicherheitsupdate angekündigt“ erzeugen den Eindruck, dass sich das VLC-Team nicht um die Behebung des Problems kümmern will. Tatsächlich wird daran gearbeitet, nur kann noch kein Veröffentlichungstermin für den Fix genannt werden.

Der MPC ist nicht eol. Aber die VLC Fanboys sind halt beschränkt in ihrer Ansicht.

Ach wenn man darauf hinweist, dass das letzte Update auf der offiziellen Webseite von vor 2 Jahren ist, ist man gleich ein Fanboy? Überhaupt was soll den der Scheiß mit der Fanboykeule? Damit wird unterstellt, dass die Kritik unberechtigt ist und der wahre Grund für die Äußerungen nur darin besteht einen Konkurrenten zu schlecht zu reden

 

[Marflowah]

@Scoty MPC-HC war vor 4 Jahren tatsächlich EOL. War eine offizielle Meldung des bzw der Entwickler. Das hat nichts mit Beschränktheit zu tun.

Daß das Projekt Jahre später durch jemand anderen wieder aufgenommen wurde, bekommt nun mal nicht jedermann gleich mit. Du ja scheinbar auch nicht.