Bezpečnostní chyba ve VLC je ve skutečnosti chybou v knihovně libebml

V posledních dnech byla na internetu publikována celá řada článků informujících o vážné bezpečnostní chybě CVE-2019-13615 ve svobodném multiplatformním multimediálním přehrávači VLC. Často byl zmíněn také konkrétní tiket #22474 s tím, že chyba je již na 60 % opravena. Všechno je ale jinak. Bezpečnostní chyba ve VLC je ve skutečnosti chybou ve staré verzi knihovny libebml. Viz vlákno na Twitteru.

25.7.2019 05:55 | Ladislav Hagara | Komunita

Komentáře

[Peter Golis]

Ach, to modulárne lepenie kódu.

[Dušan]

Také nezmysly.

Opraví sa v jednej knižnice a programy ktoré používajú tú knižnicu sú bezpečné.

[gnat]

Evidentně to tak nefunguje. Ta chyba v té knihovně byla opravená před více než rokem, ale VLC si táhlo ssebou starou verzi. A se současným zbožňováním kontejnerů tenhle problém bobtná do astronomických rozměrů.

[DarkKnight]

No funguje, oficialni baliky VLC maji spravnou verzi knihovny, ale v Ubuntu / Debianu (minimalne, viz Twitter) je stara verze. Takze problem je u distribuci

[RB]

No, je to pěkný příklad pasti, do které se člověk může chytit u distribucí. Distribuce až na výjimky neumožňují bundlovat závislosti, takže jste odkázaní na ostatní balíčky z distribuce, což je třeba u Ubuntu, kde je většina universe kompletně neudržovaná, problém. Viz tady tato libebml. Správce VLC v Ubuntu tak má víceméně jedinou možnost: ujmout se správy všech svých neudržovaných závislostí a opravy do nich backportovat (protože ne-rolling-release distribuce typicky neumožňují upgrade na novější verzi). To je takový overkill, že to nikdo nedělá. Výsledkem je zranitelná aplikace a motivace upstreamových vývojářů si raději šířit vlastní oficiální binárky s přibundlovanými závislostmi, protože je ve výsledku jednodušší buildit si je z udržovaného upstreamu než backportovat chyby do zmražených verzí v distribucích.

[V.]

Gentoo umožňuje ve stable verzi 1.3.9.
Gentoo rules

[ZiGi]

To ale nie je celkom tak, v debiane na libebml ma zavislost libmatroska, mkvtoolnix a vlc. Otestovat novu verziu kniznice je zjavne praca pre max troch spravcov balickov a kniznica moze byt zaradena v novej verzii. V skutocnosti libmatroska a libebml maju spolocnych spravcov, takze tazko tvrdit, ze sa jedna o neudrzovanu zavislost.

Ze sa oprava nedostane do jessieho je uz dan za pouzivanie nepodporovanej distribucie, v pripade strechu by to spravocia balickov mali byt schopni zariadit.

[RB]

Jasně, já netvrdím, že v Debianu to udržované není. Bavil jsem se o Ubuntu, kde se v určitý moment zkopírují balíčky do universe z Debianu a to je pro většinu vše až do EOL. A když pak člověk musí v takové distribuci spravovat balíček a podle guidelines používat ostatní balíčky jako závislosti, tak je to problém. Ten model se spoléhá na to, že správci jsou zodpovědní, balíčky udržují a bezpečnostní chyby opravují, bohužel ne vždy to je pravda a pak se člověk nemůže divit motivaci tvůrců software dělat vlastní oficiální binárky, kde mají závislosti pod kontrolou oni.

[debian+]

Debian (testing) to ma osetrene. Takze krasa.

[k3dAR]

Ubuntu to ma fixle: https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-13615.html

[RB]

Kudos člověku, který tomu věnoval čas a backportoval to, ale opravili to 16 měsíců po upstreamu včera potom, co se kolem toho udělalo haló. Moc to nemění na tom, co jsem psal.

[k3dAR]

pro zajimavost v kterem distru (krome LFS) to je fixle 16 mesicu?

[Ptr]

Třeba Debian unstable:

libebml (1.3.6-1) unstable; urgency=medium
Sun, 22 Apr 2018 10:24:33 +0200

Dva dny po vydání opravené verze upstreamem. Je to tak dlouho, že opravená verze se stihla dostat i do nového stable.

[RB]

Vydáno v upstreamu 20.4.2018, aktualizováno v: Archu 13.5.2018, ve Fedoře 31.7.2018, openSUSE 2.8.2018. Aby byl fix dostupný v den vydání upstreamem, je samozřejmě naivní představa, ale tam, kde je libebml udržované, distra zareagovala v řádu týdnů, případně nižších jednotek měsíců.

[w4error]

ale tam, kde je udržované

Tam kde je udrzovane to, tam zase neni udrzovane to, nakonec jsou na tom vsechny tak nejak podobne.

[RB]

Že není žádná distribuce bez chyby, je pravda. Nicméně bych si troufal oponovat tomu, že jsou na tom všechny tak nějak podobně. Dle mých zkušeností se v tomto dokážou lišit dost podstatně.

[Ptr]

Ale je zas pravda, že pokud to vývojáři libebml neoznačili jako (potenciálně) bezpečnostní problém, tak u LTS distribucí se moc nedivím, že se nikdo nehrnul do backportování.

[debian+]

v archu je to davno fixle

[k3dAR]

ses si jistej? podle tohoto to v Archu fixle jeste neni a zalozene to bylo pred 2dny

[debian+]

ďakujem veľmi pekne

[RB]

Že někdo vyplní distribuční security report, ještě neznamená, že to není už opravené. Je to opravené od verze 1.3.6, která v Archu vyšla loni v květnu.

[k3dAR]

pak by asi opravneni to vyplnit nemel mit kazdy "nekdo", kdyz to pak vypada ze problem trva, je tam uvedena stejna verze jako aktualni na arch packages...

[RB]

Tak hlavně ten report obsahuje stejnou chybu jako původní CVE: odkazuje na VLC, i když už je dávno známé, že chyba je jinde. IMHO to je možná i automaticky generované z nějakého CVE feedu. Každopádně verze té knihovny, která tu chybu opravuje, je v Archu už od loňského května. To je směrodatné, ne nějaký report pravděpodobně automaticky vygenerovaný z chybného CVE.

[Ptr]

Nebo by se to nemusel snažit interpretovat každý trouba

[k3dAR]

a jak ty "inteligente" bys interpretoval:

Status	Vulnerable
Fixed	Unknown

to ze tedy data na security.archlinux.org jsou neseriozni tady neokecas

[Ptr]

Máš tam odkaz:

VLC is not vulnerable, whether this is 3.0.7.1 or even 3.0.4. The issue is in a 3rd party library, and it was fixed in VLC binaries version 3.0.3, out more than one year ago. VLC v archu na externí libebml nezávisí.

[k3dAR]

odkaz je hezkej, ale pokud na https://security.archlinux.org vyhledam CVE-2019-13615 tak ocekavam ze tam ten popis plati a ne ze to zalozil nekdo kdo nevedel souvislosti

[Ptr]

Však říkám, že to není pro každého.

[k3dAR]

jiste, pro nekoho kdo pro zajimavost se podiva jak je arch na tom s konkretni CVE to neni protoze tam uvedene informace nejsou pravdive a je potreba se proklikavat dal a cist cele bugreporty aby se zjistilo co je a co neni pravda

[Ptr]

Tak už nebreč, že to nezvládáš, mně to problém nedělalo.

[k3dAR]

podle tvejch blbejch kecu sem instaloval Arch kdyz si byl jeste na houbach, to ale nic nemeni na tom ze obhajujes spatne udaje na arch security page, to proste neokecas ani neotro(t)lis

[Ptr]

Když chceš dělat chytrýho, tak musíš mít nejdřív něco v kedlubně. Tohle je ubohý, akorát se ztrapňuješ a hážeš vinu za svou neschopnost na druhý. Místo toho aby ses naučil číst. Takhle chceš strávit své poslední dny na planetě? Podle roku narození ti zbývají maximálně tak 2 dobrý roky, to jsi docela chudák.

[k3dAR]

zakoncim tuhle nesmyslnou vetev otazkou:
jsou na https://security.archlinux.org u CVE-2019-13615 uvedene spravne udaje v polozce status a fixed?

[Ptr]

Jako třeba někdo, kdo se snaží v diskuzi vystupovat jako někdo jiný, že...

[Ptr]

Tu

[Ptr]

Poslední komentáře na Tracu jsou zvlášť výživné. Je to těžký wannabe hacker. Pokud se tohoto chytily organizace jako Mitre a spol. a vytvořily CVE na nesprávný software a s nesmyslně vysokou hodnotou CVSS, tak se podrážděné reakci vývojářů ani trochu nedivím.

[Max]

Je to smutný, co nastalo. Ta firma, co to zveřejnila, to podělala na celé čáře(problém nediskutovali s vývojáři a hned ho zveřejnili, a navíc byl problém opraven a jde jen o problém v některých distribucích) a celé to dokonaly "taky technické weby". Vývojářům vlc se vůbec nedivím.
Zdar Max

[Michal Kubeček]

To je bohužel současný trend. Přehypovaná CVE s absurdně vysokým skóre na základě nepřesného až vylhaného popisu, hromady CVE spočívajících v tom, že když se spustí program na nekorektní soubor, valgrind ukáže čtení mimo alokovaný buffer (bez aspoň náznaku vysvětlení, jak by se to dalo zneužít), lidé registrující si hromadně CVE na to, že jim coccinelle skript ukázal, že se někde nekontroluje návratová hodnota kmalloc(), aniž by se podívali, jestli se opravdu nekontroluje nebo to jen skript nepoznal, … :-(

[Rezza]

Ale hlavně tomu dají cool název a vytvoří web. A pak se to musí fixnout hned, i když to nedává žádný smysl (urychlená oprava, neříkám, že fix nemá jednoho dne vyjít), protože je haló...

[Ptr]

You konw I just want found some bug about vlc

Co dodat...

[j]

Aby ne, kazdej ceka ze vyhraje nejakou tu tisicovku Ecek, a kdyz nareportuje par tisic bugu, ma vetsi sanci ze se nakej ujme. Naprosto drtiva vetsina CVE nema v realnym svete prakticky zadnou vyuzitelnost (drtiva vetsina z nich je na tema ze kdyz 30 unora za uplnku ... ), a v tom bordelu se pak pekne ztratej ty, ktery maji.