เตือนผู้ใช้ VLC เล่นไฟล์วิดีโอแปลกปลอมเสี่ยงถูกแฮ็กได้

Symeon Paraschoudis นักวิจัยด้านความมั่นคงปลอดภัยจาก Pen Test Partners ออกมาแจ้งเตือนถึงช่องโหว่บน VLC แอปพลิเคชันสำหรับเล่นวิดีโอยอดนิยม ซึ่งช่วยให้แฮ็กเกอร์สามารถเข้าควบคุมระบบคอมพิวเตอร์จากระยะไกล ถ้าผู้ใช้เผลอเล่นไฟล์วิดีโออะไรก็ไม่รู้ที่ดาวน์โหลดมาจากอินเทอร์เน็ต

Paraschoudis พบว่า VLC เวอร์ชันก่อน 3.0.7 มีช่องโหว่ความรุนแรงระดับสูงถึง 2 รายการ และช่องโหว่ความรุนแรงระดับปานกลางและต่ำอีกไม่รู้กี่รายการ ซึ่งช่องโหว่เหล่านี้อาจนำไปสู่การโจมตีแบบ Arbitrary Code Execution ได้

ช่องโหว่ความรุนแรงระดับสูงประกอบด้วย CVE-2019-12874 ซึ่งเป็นช่องโหว่ประเภท Double-free บนฟังก์ชัน zlib_decompress_extra ของ VLC อาจถูกโจมตีได้เมื่อมีการ Parse ไฟล์ MKV ที่ถูกปรับแต่งมาเป็นพิเศษภายใน Matroska Demuxer และ CVE-2019-5439 ซึ่งเป็นช่องโหว่ Read-buffer Overflow บนฟังก์ชัน ReadFrame อาจถูกโจมตีได้เมื่อใช้ไฟล์ AVI ที่ถูกปรับแต่งมาเป็นพิเศษ

จากการ PoC โดยใช้ช่องโหว่ทั้งสอง เพียงแค่สร้างไฟล์วิดีโอ MKV หรือ AVI ขึ้นมาเป็นพิเศษ แล้วหลอกให้ผู้ใช้เล่นไฟล์นั้นๆ ผ่าน VLC ก็ทำให้สามารถหยุดการทำงานของ VLC หรือโจมตีแบบ Arbitrary Code Execution ด้วยสิทธิ์ของผู้ใช้ระบบในขณะนั้นเพื่อรันคำสั่งแปลกปลอมบนระบบคอมพิวเตอร์ได้

VLC ได้รับทราบถึงช่องโหว่ดังกล่าวเหล่านี้ แล้วได้ออกแพตช์เวอร์ชัน 3.0.7 เพื่ออุดช่องโหว่ทั้งหมดเป็นที่เรียบร้อย แนะนำให้ผู้ใช้รีบอัปเดตโดยเร็ว

ที่มา: https://thehackernews.com/2019/06/vlc-media-player-hacking.html


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

ประกาศรายชื่อผู้เข้ารอบ Cisco Innovation Challenge 2019

ขอแสดงความยินดีกับทีมผู้เข้ารอบ 10 ทีมสุดท้าย! จากผู้เข้าสมัครจำนวนมาก คณะกรรมการได้คัดเลือกไอเดียเด็ดๆ จนเหลือเพียงไอเดียที่เข้าตา และมีศักยภาพจะเปลี่ยนสังคมได้จริง และนี่คือรายชื่อผู้เข้ารอบ Cisco Innovation Challenge 2019 ที่จะได้พัฒนาไอเดียให้กลายเป็นจริงร่วมกับผู้เชี่ยวชาญจาก Cisco Systems …

ZYXEL Webinar: บริหารจัดการเน็ตเวิร์กผ่าน Cloud ด้วย ZYXEL Nebula

ZYXEL Thailand ขอเรียนเชิญเหล่า IT Manager, Network Engineer และ IT Admin เข้าร่วมฟังบรรยายพิเศษในหัวข้อเรื่อง “บริหารจัดการเน็ตเวิร์กผ่าน Cloud ด้วย ZYXEL …