Especialistas en seguridad en la nube reportan el hallazgo de al menos tres vulnerabilidades críticas en VLC Media Player, el reproductor y framework multimedia de código abierto desarrollado por VideoLAN. La explotación exitosa de estas fallas llevaría a escenarios como desbordamiento de búfer y lectura fuera de límites.
A continuación se presentan breves reseñas de las fallas reportadas, además de sus respectivas claves de identificación y puntajes según el Common Vulnerability Scoring System (CVSS).
CVE-2020-9308: Esta vulnerabilidad existe debido a un error de límite al procesar archivos RAR5 en archive_read_support_format_rar5.c en libarchive, lo que permitiría a los actores de amenazas ejecutar código arbitrario en el sistema objetivo. Un atacante remoto puede crear un archivo RAR5 especialmente diseñado, engañar a la víctima para que lo abra, desencadenar daños en la memoria, lo que podría resultar en un compromiso total del sistema vulnerable.
La falla recibió un puntaje de 7.7/10, por lo que se le considera un error de alta gravedad. La vulnerabilidad puede ser explotada de forma remota, aunque se desconoce la existencia de un malware para desencadenar el ataque, mencionan expertos en seguridad en la nube.
CVE-2019-19221: Esta falla existe debido a una condición límite de “archive_wstring_append_from_mbs” en “archive_string.c”, que a su vez se debe a una llamada “mbrtowc” o “mbtowc” incorrecta, lo que permitiría a los hackers acceder a información confidencial.
Un actor de amenazas remoto puede crear un archivo de almacenamiento especialmente diseñado, engañar a la víctima para que lo abra, activar un error de lectura fuera de los límites y leer el contenido de la memoria en el sistema. Esta falla recibió un puntaje de 4.7/10 en la escala CVSS, lo que la convierte en una vulnerabilidad de severidad media.
Esta falla también podría ser explotada de forma remota por un hacker no autenticado a través de Internet, aunque al parecer no existe un malware relacionado con este potencial ataque, mencionan expertos en seguridad en la nube.
CVE-2020-13428: Esta vulnerabilidad existe debido a un error de límite en la función hxxx_AnnexB_to_xVC () en modules/packetizer/hxxx_nal.c en VideoLAN VLC al procesar archivos de video H.264 Annx-B. Un atacante remoto puede crear un archivo .avi especialmente diseñado, engañar a la víctima para que lo abra, activar el desbordamiento del búfer basado en el montón y ejecutar código arbitrario en el sistema de destino.
La falla recibió un puntaje de 7.7/10, por lo que se le considera una vulnerabilidad crítica. Al igual que en los casos anteriores, esta vulnerabilidad podría ser explotada de forma remota, aunque no hay un exploit para completar el ataque.
Los desarrolladores ya han lanzado las actualizaciones correspondientes, por lo que los usuarios de implementaciones afectadas sólo deben verificar la correcta instalación de los parches de seguridad. Para mayores informes sobre vulnerabilidades, exploits, variantes de malware y riesgos de seguridad informática, se recomienda ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS), al igual que a las plataformas oficiales de las compañías tecnológicas.
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
