Angreifbare Soft- und Hardware

(c) sxc.hu
(c) sxc.hu

QNAP, ffmpeg und VLC mit Sicherheitslücken

Daniel Kottmair
22.09.2009 Zweimal Software, einmal Hardware: Unser heutiger Überblick über kritische Sicherheitslücken.

Der Sicherheitsdienstleister Secunia hat mehrere Schwachstellen im beliebten Multimedia-Framework Ffmpeg entdeckt, das die Basis für die meisten Linux-Mediaplayer stellt. Zahlreiche Fälle von Heap Memory Corruptions und Nullpointer-Dereferenzierungen würden es ermöglichen, mittels speziell präparierter Mediendateien eigenen Code auf dem Zielsystem ausführen zu können, untersucht wurde von Secunia Version 0.5 von Ffmpeg. Einige der Sicherheitslücken sind in den Versionen im aktuellen SVN-Repository schon behoben, der Rest sollte umgehend geschlossen werden.

Das VideoLan-Client-Projekt hat inzwischen Version 1.0.2 veröffentlicht, welche zahlreiche Stack-Overflow-Sicherheitslücken in den AVI-, MP4 und ASF-Demuxern behebt, womit ebenfalls mittels speziell präparierter Mediendateien Code ausgeführt werden könnte. Angreifbar sind alle Versionen bis zurück zu 0.5.0, deshalb wird das Update wird allen Nutzern empfohlen. VLC nutzt unter anderem ebenfalls das ffmpeg-Framework, es geht jedoch nicht klar hervor, ob diese Schwachstellen mit einigen der von Secunia bemängelten deckungsgleich sind. Die Beschreibung klingt allerdings sehr ähnlich.

Auch QNAP, ein beliebter Hersteller von NAS-Festplatten, hat mit Sicherheitslücken zu kämpfen: Wie bekannt wurde, wird ein zweiter Schlüssel für die Festplattenverschlüsselung nur mit äußerst schwachem Schutz im Flash-Speicher hinterlegt, so dass ein Angreifer mit physikalischem oder Netzwerk-Zugriff auf das NAS diesen einfach auslesen und wiederherstellen kann, um vollständigen Zugriff auf eine verschlüsselte Platte zu erlangen. Besonders prekär bei einem als Secure Storage beworbenen Produkt ist, dass es sich hier allem Anschein nach um eine bewusst eingebaute Backdoor handelt, da das Anlegen eines zweiten, nur äußerst schwach geschützten Schlüssels ansonsten keinen Sinn ergibt. QNAP wurde informiert und verspricht für Oktober ein Firmware-Update, welches das Problem beheben soll.

Ähnliche Artikel

Kommentare

Aktuelle Fragen

Scanner EPSON Perfection V 300 photo und VueScan
Roland Welcker, 19.08.2015 09:04, 1 Antworten
Verehrte Linux-Freunde, ich habe VueScan in /usr/local/src/vuex_3295/VueScan installiert, dazu d...
Empfehlung gesucht Welche Dist als Wirt für VM ?
Roland Fischer, 31.07.2015 20:53, 2 Antworten
Wer kann mir Empfehlungen geben welche Distribution gut geeignet ist als Wirt für eine VM für Win...
Plugins bei OPERA - Linux Mint 17.1
Christoph-J. Walter, 23.07.2015 08:32, 3 Antworten
Beim Versuch Video-Sequenzen an zu schauen kommt die Meldung -Plug-ins und Shockwave abgestürzt-....
Wird Windows 10 update/upgrade mein Grub zerstören ?
daniel s, 22.07.2015 08:31, 7 Antworten
oder rührt Windows den Bootloader nicht an? das ist auch alles was Google mir nicht beantw...
Z FUER Y UND ANDERE EINGABEFEHLER AUF DER TASTATUR
heide marie voigt, 10.07.2015 13:53, 2 Antworten
BISHER konnte ich fehlerfrei schreiben ... nun ist einiges drucheinander geraten ... ich war bei...