'Nieuw kritiek lek' in VLC media player was allang dichtgeplakt

De afgelopen dagen was er ophef over een verondersteld nieuw ontdekt lek in de populaire VLC mediaspeler. Beveiligingsorganisaties Cert-Bund (van de Duitse overheid) en Mitre namen klakkeloos de bewering van een onderzoeker over dat er een ernstige kwetsbaarheid in de mediaspeler zat en vaardigden een CVE (Common Vulnerabilities and Exposures) uit - een officieel rapport over het lek.

De makers van VLC konden het lek echter niet reproduceren toen ze een update wilden maken om de kwetsbaarheid te herstellen. Uiteindelijk bleek dat het lek zat in een onderdeel van VLC dat door een derde partij wordt gemaakt. En sterker nog: het lek in dat onderdeel (libebml) was zelfs al 16 maanden geleden dichtgeplakt.

De onderzoeker die het zogenaamde lek ontdekt had blijkt VLC getest te hebben op een versie van Ubuntu (18.04) die een verouderde uitgave van het onderdeel libeml meeleverde. Onder Windows en macOS is er sowieso geen probleem: daar heeft VLC allang een nieuwe, veilige versie van deze gewraakte component. En ook nieuwere versies van Ubuntu (18.10, 19.04) hebben nergens last.

De makers van VLC zijn boos op Mitre en Cert-Bund dat ze zonder overleg met VLC een officieel rapport (CVE) over 'het lek' hebben uitgebracht. Vervelend voor VLC is dat heel veel websites en nieuwsmedia bovenop het lek zijn gedoken (komkommertijd?) en berichten hebben geplaatst waarbij onder andere werd opgeroepen om VLC te verwijderen (Gizmodo).

Niks aan de hand dus: er zit geen lek in VLC mediaspeler voor Windows en Mac, want dat is ruim een jaar geleden al dichtgeplakt (in versie 3.0.3). En als je Ubuntu 18.04 gebruikt, controleer dan even of je libeml 1.3.5-2ubuntu0.1 al binnen hebt gekregen (of download en installeer deze zelf). En dan nog, het lek (voor Ubuntu) kan alleen misbruikt worden als je MKV-bestanden opent. Een storm in glas water dus.

Maar goed, als je VLC onder Windows of Mac gebruikt is dit wel een mooie gelegenheid om te kijken of je de laatste versie (3.0.7.1) hebt.

In de reacties horen we graag of jij een recente versie van VLC media player hebt!