QNAP, ffmpeg und VLC mit Sicherheitslücken

(c) sxc.hu
(c) sxc.hu

Angreifbare Soft- und Hardware

Daniel Kottmair
22.09.2009 Zweimal Software, einmal Hardware: Unser heutiger Überblick über kritische Sicherheitslücken.

Der Sicherheitsdienstleister Secunia hat mehrere Schwachstellen im beliebten Multimedia-Framework Ffmpeg entdeckt, das die Basis für die meisten Linux-Mediaplayer stellt. Zahlreiche Fälle von Heap Memory Corruptions und Nullpointer-Dereferenzierungen würden es ermöglichen, mittels speziell präparierter Mediendateien eigenen Code auf dem Zielsystem ausführen zu können, untersucht wurde von Secunia Version 0.5 von Ffmpeg. Einige der Sicherheitslücken sind in den Versionen im aktuellen SVN-Repository schon behoben, der Rest sollte umgehend geschlossen werden.

Das VideoLan-Client-Projekt hat inzwischen Version 1.0.2 veröffentlicht, welche zahlreiche Stack-Overflow-Sicherheitslücken in den AVI-, MP4 und ASF-Demuxern behebt, womit ebenfalls mittels speziell präparierter Mediendateien Code ausgeführt werden könnte. Angreifbar sind alle Versionen bis zurück zu 0.5.0, deshalb wird das Update wird allen Nutzern empfohlen. VLC nutzt unter anderem ebenfalls das ffmpeg-Framework, es geht jedoch nicht klar hervor, ob diese Schwachstellen mit einigen der von Secunia bemängelten deckungsgleich sind. Die Beschreibung klingt allerdings sehr ähnlich.

Auch QNAP, ein beliebter Hersteller von NAS-Festplatten, hat mit Sicherheitslücken zu kämpfen: Wie bekannt wurde, wird ein zweiter Schlüssel für die Festplattenverschlüsselung nur mit äußerst schwachem Schutz im Flash-Speicher hinterlegt, so dass ein Angreifer mit physikalischem oder Netzwerk-Zugriff auf das NAS diesen einfach auslesen und wiederherstellen kann, um vollständigen Zugriff auf eine verschlüsselte Platte zu erlangen. Besonders prekär bei einem als Secure Storage beworbenen Produkt ist, dass es sich hier allem Anschein nach um eine bewusst eingebaute Backdoor handelt, da das Anlegen eines zweiten, nur äußerst schwach geschützten Schlüssels ansonsten keinen Sinn ergibt. QNAP wurde informiert und verspricht für Oktober ein Firmware-Update, welches das Problem beheben soll.

Ähnliche Artikel

Kommentare

Aktuelle Fragen

Bash awk Verständnis-Frage
Josef Federl, 22.07.2017 17:46, 0 Antworten
#!/bin/bash # Skriptdateiname = test.sh spaltennummer=10 wert=zehner awk '{ $'$spaltennummer'...
Bash - verschachtelte Variablenersetzung, das geht doch eleganter als meine Lösung?
Josef Federl, 18.07.2017 20:24, 2 Antworten
#!/bin/bash #Ziel des Skriptes wird sein die ID zu extrahieren hier nur als Consolentest: root@...
Speicherplatzfreigabe mit "sudo apt-get clean" scheitert
Siegfried Böttcher, 16.07.2017 21:16, 2 Antworten
Speicherplatzfreigabe mit "sudo apt-get clean" scheitert, weil aus mir unerfindlichen Gründen im...
Möchte Zattoo vom PC am Fernsehgerät sehen können
Ilona Nikoui, 15.07.2017 18:25, 3 Antworten
Hallo, ich habe mein Fernsehgerät, ein LG 26LE3300 mit dem PC verbunden per HDMI Kabel, wie empfo...
TUXEDO und Hardwareauswahl , fragwürdig / Kritik
Josef Federl, 11.07.2017 12:44, 7 Antworten
Auf tuxedocomputers.com steht: "....Aber wir können auch Linux und das so, dass "einfach" alles...