Опасная уязвимость обнаружена в медиаплеере VLC

Опасная уязвимость обнаружена в медиаплеере VLC

Изъян существует в демультиплексорном компоненте обработчика МР4-файлов и вызван ошибкой в функции MP4_ReadBox_skcr. Эксплуатируя его, злоумышленник может вызвать переполнение буфера и запуск произвольного кода на целевом компьютере.


Уязвимость была выявлена в версии проигрывателя 1.1.8, однако ей могут быть подвержены и более ранние выпуски VLC Media Player. Специалисты компании Secunia присвоили изъяну высший уровень опасности, поскольку его можно проэксплуатировать удаленно - через ActiveX-элемент VLC либо через соответствующий плагин для обозревателя Firefox. Чтобы спровоцировать нежелательную реакцию, необходим особым образом сформированный MP4-файл.

Разработчики популярного плеера с открытым кодом, который распространяется по условиям лицензии GNU GPL, рекомендуют пользователям воздерживаться от просмотра подозрительных видеофайлов, полученных из сомнительных источников, либо попросту удалить весь декодер MP4 (libmp4_plugin.*) из папки медиапроигрывателя вплоть до тех пор, пока не будет выпущена новая версия программного продукта, содержащая необходимые исправления.

В принципе патчи для VLC Media Player уже имеются в наличии, но только в виде исходного кода. Соответственно, применить их пока что можно лишь к Linux-сборкам проигрывателя; что же касается версий для Windows и Mac OS, то их пользователям придется ждать выхода нового выпуска - 1.1.9. Возможно, что в нем будет откорректирована еще одна ошибка безопасности, недавно обнаруженная в библиотеке libmodplug; этот программный элемент входит в состав VLC, однако разрабатывается не участниками проекта VideoLAN, а третьесторонним поставщиком.

Softpedia

Письмо автору

Новая функция ChatGPT может подарить стилерам карту активности юзера macOS

OpenAI представила Computer History — функцию, которая превращает недавнюю активность на Mac-компьютерах в хронологию и воспоминания для ChatGPT и Codex. Система учитывает переключения между приложениями, клики, ввод текста, сочетания клавиш и контекст, доступный через специальные возможности macOS. Затем ИИ собирает из этого краткие сводки о работе пользователя.

Функция выключена по умолчанию и требует активации Memories. Пока она работает только в приложении ChatGPT для macOS и доступна пользователям Pro, Business и Enterprise. Подробности опубликованы в документации OpenAI.

В корпоративных тарифах сначала понадобится разрешение администратора. В Европейской экономической зоне, Швейцарии и Великобритании новинка недоступна.

Пользователь может выбрать участвующие приложения и сайты, поставить сбор на паузу или удалить историю за десять минут, час, день либо целиком. Скриншоты, звук и активность в приватном режиме браузера в историю не попадают.

 

Исходные файлы событий хранятся на Mac до 48 часов и после обработки удаляются. Для создания сводок они временно отправляются на серверы OpenAI, но, по заявлению компании, не сохраняются и не используются для обучения моделей. А вот сформированные воспоминания остаются на компьютере в виде обычных Markdown-файлов, пока пользователь не удалит их сам.

И тут приватность начинает хромать. Эти файлы не шифруются средствами Computer History, поэтому другие программы, работающие от имени того же пользователя macOS, потенциально могут их прочитать. Для стилера такая папка способна стать готовым конспектом рабочего дня.

OpenAI также предупреждает о риске инъекции в промпт: скрытые инструкции на сайте или в приложении могут попасть в контекст, после чего ChatGPT или Codex попробует им следовать.

RSS: Новости на портале Anti-Malware.ru