Publié le 25-12-2007 dans le thème Anonymat

Pays : International - Auteur : Eric Romang

Pub : CA Anti-Virus 2007 - Protection exhaustive contre l’intrusion de virus!

Deux vulnérabilités, l'une dans le traitement de fichiers sous-titres, et l'autre dans la gestion des connexions du mini serveur http de VideoLAN VLC, peuvent permettre l'exécution de code arbitraire.

Luigi Auriemma a rapporté deux vulnérabilités, classifiées comme "hautement critiques", pour VideoLAN VLC 0.8.x, qui pourraient être exploitées par un internaute malveillant de compromettre un système vulnérable. 

VLC est capable de traiter les sous-titres de façon automatique de façon simpliste, il vérifie uniquement la présence d'un fichier du type ssa ayant le même nom que la vidéo chargée. Les fonctions qui traitent les sous-titres MicroDVD, SSA et VPlayer sont vulnérables à des débordements de mémoire qui pourraient permettre l'exécution de code arbitraire. L'exploitation de cette vulnérabilité pourrait s'effectuer en incitant un internaute cible à ouvrir une vidéo et son fichier sous-titres. La vulnérabilité avait été rapportée initialement par Michal Luczaj cet été, la correction avait été effectuée dans le dépôt SVN du fournisseur, mais la version actuelle 0.8.6d est toujours vulnérable.

VLC peut être contrôlé de façon distante par le biais d'une interface web, qui tourne grâce à un mini serveur http écoutant sur le port 8080. Les instructions qui traitent le paramètre "Connection" envoyé par le client envoient leurs contenus à la fonction "httpd_MsgAdd" sans le format d'argument requis. Cette attaque est identifiée sous le nom de "format string vulnerability". L'exécution de code arbitraire est alors possible.

La vulnérabilité a été rapportée pour la version 0.8.6d et les versions antérieures, sur toutes les plates-formes.

Le fournisseur à corrigé les vulnérabilités dans son dépôt SVN. 

# Liens connexes

Bulletin de sécurité Luigi Auriemma (en anglais)

La faille visant le protocole DNS diffusée... par erreur

Début juillet, Microsoft, Alcatel, Cisco et d'autres sociétés annonçaient avoir corrigée une importante faille visant le coeur même d'Internet. Trois semaines plus tard la faille est diffusée... par erreur.

Offre d'emploi: Clic’n Go recrute un développeur Web PHP

Clic’n Go, spécialiste dans le conseil, la conception et le développement de solutions multimédia exploitant les technologies du web, de la vidéo et du richmédia recrute un développeur Web PHP.

La CNIL déloge le mauvais comportement de 3 sites dédiés aux annonces immobiliéres

Annonces immobilières en ligne: la CNIL contrôle et empêche la commercialisation des données des particuliers à leur insu.

Concert: Manu Chao en live et gratuit sur le web

Le 30 juillet prochain, Manu Chao va diffuser, en live et gratuitement sur le réseau des réseaux, son concert qui aura lieu aux Arènes de Bayonne.

UBISoft diffuse un crack warez pour aider ses clients

Chasser le warez par la porte, il repasse par la fenêtre. L'éditeur de jeux vidéo UBISoft propose à ses clients un crack warez pour palier sa propre sécurité anti-copie.

Réseau de cybercriminels démantelé

Un réseau de cybercriminels démantelé par la police roumaine. 19 personnes arrêtées spécialisée dans les fausses ventes sur eBay.

Nouvel organisme de lutte contre les délits informatiques

L’Alliance nationale d’intervention judiciaire et de formation contre la cybercriminalité voit le jour au Canada. Les pirates peuvent trembler ?

Piratage de cartes à puce sans contact facile

Des failles permettent de cloner les cartes à puce Mifare Classic. La preuve par l'image alors que la société voulait faire interdire sa diffusion.

L'Icann menacée lors du passage d'un pirate informatique

Un pirate informatique turc modifie le site Internet de l'International Corporation for Assigned Names and Numbers.

Bernard Thibault espionné ?

Mais comment le secrétaire général de la CGT a-t-il découvert une tentative d'espionnage à son encontre ? A première vue, 007 était manchot, aveugle et idiot !

Une base d'empreintes digitales numérisées pour Interpol

La police internationale Interpol vient de mettre en place une base d’empreintes digitales numérisées.

Un artiste réalise une toile mondiale avec un GPS

Erik Nordenankar, un artiste pas comme les autres. Il dessine une oeuvre en traversant le monde et en utilisant un GPS. Oui mais ...

OTAN en emporte le web

L'Organisation du traité de l'Atlantique Nord vient de se doter d'un centre de recherche dédié à la cyberdéfense. Seulement, à force de voir le mal à l'extérieur de ses murs, l'OTAN a juste oublié de regarder dans sa e-cuisine.

Pour contrer les pirates, les honnêtes joueurs seront pénalisés

Electronic Arts et l'éditeur BioWare mettent en place une sécurité anti copie qui n'a pas fini d'embetter les joueurs honnêtes.

Yahoo! et McAfee collaborent pour sécuriser la navigation sur le web

La nouvelle fonction SearchScan de Yahoo! Search signale les sites dangereux avant de cliquer sur le lien.

Un pirate dans le gouvernement Belge

Le ministre fédéral de l'Economie responsable des Télécommunications arbore un téléphone Apple... piraté !

Réagissez à ce contenu