В медиаплеере VLC устранили уязвимости DoS и RCE

В медиаплеере VLC устранили уязвимости DoS и RCE

В медиаплеере VLC устранили уязвимости DoS и RCE

НКО VideoLAN анонсировала выпуск VLC 3.0.18 — новой сборки плеера с улучшениями для адаптивного стриминга, обновленными библиотеками и поддержкой RISC-V. Участники проекта также закрыли четыре уязвимости; самая опасная из них грозит удаленным исполнением вредоносного кода.

Данная проблема связана с ошибкой переполнения буфера, которая может возникнуть при обработке vnc-потоков. Чтобы ее вызвать, злоумышленник должен убедить жертву пройти по ссылке и запустить специально созданный медиафайл. Успешный эксплойт позволяет полностью скомпрометировать целевую систему.

Остальные уязвимости открывают возможность для DoS-атаки и оценены как низкой степени опасности. Они проявляются при обработке файлов MP4 (ошибка деления на нуль), OGG (разыменование нулевого указателя) либо медиаконтента произвольного формата (двойное освобождение памяти). Эксплойт во всех случаях осуществляется с помощью вредоносного файла и позволяет вызвать в системе состояние отказа в обслуживании.

Уязвимостям подвержены VLC выпусков с 3.0.0 по 3.0.17.4. Патчи включены в состав обновления 3.0.18, вышедшего 29 ноября.

Другие нововведения:

  • расширена поддержка адаптивного вещания;
  • обновлены кодеки и ряд сторонних библиотек (FFmpeg, bluray, upnp, zlib, nettle, GnuTLS, libsmb2, libvpx, mpg123 и др.);
  • введена поддержка архитектуры RISC-V;
  • улучшена работа с протоколами SMB1/2 и FTP;
  • устранены проблемы воспроизведения и производительности при использовании устаревших GPU;
  • решена вернувшаяся проблема UPnP на Windows;
  • решены проблемы декодирования HEVC-файлов на macOS;
  • решены проблемы с изменением размера окна и цветопередачей при использовании OpenGL.

Несмотря на почтенный возраст, медиаплеер VLC до сих пор пользуется большой популярностью — в том числе у злоумышленников, пытающихся выдать своих вредоносов за легитимные программы. К подобной маскировке иногда прибегают и APT-группы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

На конференции «Гарды» обсудят будущее киберугроз и защиту данных в 2026

За первые шесть месяцев 2025 года в России зафиксировали 35 утечек персональных данных. В результате «утекло» больше 39 миллионов записей. И что важно — в 68% случаев виноват оказался человеческий фактор. Исследование hh.ru и Staffcop показало, что 38% сотрудников компаний никогда не проходили обучение по правилам информационной безопасности.

А у более чем 10% бывших сотрудников доступ к корпоративным системам сохраняется даже после увольнения. Всё это только подтверждает: защита данных давно уже не вопрос отдельных отраслей, а задача абсолютно каждой организации.

По данным центра компетенций «Гарда», в 2025 году киберпреступники по-прежнему активно используют социальную инженерию, фишинг и атаки на цепочки поставок. Всё чаще они подключают искусственный интеллект — и для проверки кода при создании зловредов, и для автоматизации атак. К тому же растёт число DDoS-атак, и в 2024 году до 40% из них имели идеологический подтекст.

«Ежегодно конференция “Гарда: Сохранить все. Безопасность информации” становится площадкой для открытого диалога между стейкхолдерами по вопросам защиты данных, ‒ говорит бизнес-партнер по инновационному развитию в Департаменте продуктового развития группы компаний «Гарда» Лука Сафонов. ‒ Эксперты рынка ИТ- и ИБ-, регуляторы, которые сегодня определяют стратегическое развитие отрасли, разрабатывают действенные решения для сложных задач защиты данных, ведь их потеря влечет не только убытки, но и снижение доверия со стороны клиентов и партнеров».

В программе конференции — пленарное заседание с участием министра цифрового развития и руководителей крупнейших компаний, прогнозы по киберугрозам на 2026 год, презентация новых технологий для защиты данных и «открытый микрофон» с представителями Минцифры, СМИ и отраслевых объединений.

Конференция пройдёт 16 октября в конгресс-центре Soluxe (Москва, ул. Вильгельма Пика, 16).
Участие бесплатное, но нужна предварительная регистрация.

[Регистрация на мероприятие!]

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru