Windows durch durch Untertitel in Videos angreifbar

Die Anzeige von Untertiteln bei der Videowiedergabe kann dazu führen, dass Windows-Systeme, dank einer Sicherheitslücke in gängigen Video-Playern übernommen werden können. Betroffen sich Nutzer beliebter Media Player wie VLC, Kodi (XBMC), Popcorn Time und Stream.io. Ergänzung: Nicht nur Windows (wie der Titel des Beitrags suggeriert) sondern auch andere Plattformen sind möglicherweise angreifbar.


Anzeige

Worum geht es genau?

Bei machen Videos lassen sich Untertitel bei der Wiedergabe im Video-Player einblenden. Eigentlich nichts spektakuläres, die Untertitel sind schließlich simple Texte, die bei der Anzeige bestimmter Video-Frames eingeblendet werden – sollte man zumindest denken.

Vom israelischen Sicherheitsunternehmen Check Point liegt mir aber seit Montag eine Information vor, die nahelegt, dass die Wiedergabe von Untertiteln ein Sicherheitsrisiko darstellt. Check Point-Forscher entdeckten einen neuen Angriffsvektor, der es Hackern ermöglichen könnte, bösartige Untertitel zu erstellen und Nutzer beliebter Medienplattformen anzugreifen, um die vollständige Kontrolle über die PCs, Mobiltelefone und Smart-TVs der Nutzer zu erlangen.

Unter dem Titel 'Hacked in Translation' hat Check Point erste Details bekannt gegeben – mehr Details sollen die Woche folgen. Die Angriffsmethode bedroht hunderte Millionen von Nutzern beliebter Media Player, darunter VLC, Kodi (XBMC), Popcorn Time und Stream.io,. Durch Erstellen bösartiger Untertiteldateien, die dann von Zuschauern heruntergeladen werden, können Angreifer möglicherweise die vollständige Kontrolle über alle Geräte erlangen, auf denen die gefährdeten Plattformen laufen.

„Die über 25 verschiedenen Untertitel-Formate, die verwendet werden, und die alle einzigartige Eigenschaften und Funktionen aufweisen, machen die Supply Chain für Untertitel sehr komplex. Dieses fragmentierte Ökosystem in Verbindung mit geringer Sicherheit bedeutet, dass es viele Schwachstellen gibt, die ausgenützt werden könnten. Dass macht sie zu einem hochattraktiven Ziel für Angreifer", sagt Omri Herscovici, Teamleiter Vulnerability Research bei Check Point. „Jetzt haben wir entdeckt, dass bösartige Untertitel erstellt und unter Umgehung der Sicherheitssoftware automatisch an Millionen Geräte geschickt werden könnten. Die Angreifer erlangen so die vollständige Kontrolle über die infizierten Geräte und die darin enthaltenen Daten."

Check Points Forscherteam führte Tests durch und fand Schwachstellen in vier der beliebtesten Media Player: VLC, Kodi, Popcorn Time und Strem.io. Sie folgten den geltenden Richtlinien zur Veröffentlichung und meldeten die Schwachstellen. Wenn Hacker die Schwachstellen in diesen Plattformen ausnutzen, sind sie in der Lage, die bösartigen Dateien dazu zu verwenden, Geräte, auf denen diese Medien laufen, zu übernehmen.


(Quelle: CheckPoint)

VLC verzeichnet über 170 Millionen Downloads seiner neuesten Version, die am 5. Juni 2016 herauskam. Kodi (XBMC) erreichte über 10 Millionen Unique Users pro Tag und fast 40 Millionen Unique Users pro Monat. Für die Nutzung von Popcorn Time existieren keine aktuellen Schätzungen, sie wird aber ebenfalls auf mehrere zehn Millionen geschätzt. Check Point hat Grund zur Annahme, dass ähnliche Schwachstellen auch in anderen Streaming Media Playern vorhanden sind.

Untertitel für Angriffe nutzbar

Die Untertitel für Filme oder TV-Shows werden von einer Vielzahl von Untertitel-Autoren erstellt und auf gemeinsame Online-Verzeichnisse, wie OpenSubtitles.org, hochgeladen, wo sie indiziert und bewertet werden. Die Check Point-Forscher wiesen auch nach, dass bösartige Untertitel durch die Manipulation des Ranking-Algorithmus' der Verzeichnisse vom Media Player automatisch heruntergeladen werden können, wodurch Hacker ohne das Zutun der Nutzer die vollständige Kontrolle über die gesamte Supply Chain der Untertitel erlangen können. Nachfolgendes Video zeigt den Angriff.

(Quelle: YouTube)


Anzeige

Video-Player aktualisieren

Um sich zu schützen und die Gefahr möglicher Angriffe zu minimieren, sollten Nutzer ihren Streaming Player auf die neueste Version aktualisieren, empfiehlt Check Point. Von VideoLan steht beispielsweise die Version VLC 2.2.5.1 für Windows bereit, dort soll die Sicherheitslücke gefixt sein.

Nachtrag: Im Check Point-Blog findet sich seit dem 23.5.2017 dieser englischsprachige Beitrag mit weiteren Details. Und Hacker News berichtet hier, dass Updates für weitere Player verfügbar sein sollen. Bei neowin.net findet sich hier die Info, dass auch Kodi ein Update für den Player auf die Version 17.2 freigegeben habe.


Cookies blockieren entzieht uns die Finanzierung: Cookie-Einstellungen

Dieser Beitrag wurde unter Android, Sicherheit, Tablet PC, TV, Video/Foto/Multimedia, Windows abgelegt und mit , , verschlagwortet. Setze ein Lesezeichen auf den Permalink.

19 Antworten zu Windows durch durch Untertitel in Videos angreifbar

  1. Kim O. Fee sagt:

    "Durch Erstellen bösartiger Untertiteldateien, die dann von Zuschauern heruntergeladen werden […]"

    Was Du immer findest und was es nicht alles gibt … kannte ich gar nicht und käme auch nie auf die Idee … (denn dass so eine Netzverbindung natürlich gleich wieder von irgendwelchen Saubanden missbraucht wird, war ja klar …)
    Na egal, da sowieso einzig und allen der VLC in Frage kommt und die neue Version ("Umbrella") "gefixt" sein soll, ist ja alles gut … (wie man sieht, muss man nicht nur MS-Sicherheitsupdates laufend aktualisieren)

  2. Ralf sagt:

    Was im übrigen zeigt, dass auch die Entwicklung hin zu Windows S und nur noch Apps aus dem Windows Store auch nicht wirklich weiter hilft. Wenn dann die angebotenen Apps Schwachstellen enthalten. Unter wie jetzt bei Kodi im Windows App Store weiter die verwundbare 17.1 angeboten wird und auf der Webseite die aktualisierte 17.2 …

    • Herr IngoW sagt:

      und von Android/Google ganz zu schweigen!

    • Ingo sagt:

      Naja, doch. Die Frage ist, was die Apps dann auf dem System für Berechtigungen haben. Eine App wie Kodi, die über die Desktop Bridge portiert wurde, läuft genauso in einer Sandbox wie echte UWP Apps. Direkte Zugriffe aus der App heraus sind so nicht möglich.
      Insofern ist Kodi aus dem Store zwar genauso anfällig, aber die Frage wäre halt, ob danach dann auch noch ein Sandbox-Ausbruch klappt.

  3. Seita sagt:

    Der VLC 64bit 2.2.4 zeigt bei der Überprüfung immer an das er aktuell sei.
    Der Link oben im Text führt einen zur VLC Homepage aber dort ist nur der 32bit Dowloadlink.
    Hier der Link zum Download von der Homepage:

    http://download.videolan.org/pub/videolan/vlc/2.2.5.1/

    Dort einfach die 64bit Version vom 2.2.5.1 laden und über die alte Version installieren.
    :-)

  4. Christian sagt:

    …mittlerweile ist VLC 2.26 aktuell.

    Gruss, Christian

  5. Dekre sagt:

    Danke= Für VCL = nun habe ich über die Internetseite heruntergeladen und aktualisiert, dann noch mal geschaut – und – Es gibt die allerneueste Version mit 2.2.6 welche wohl so frisch ist, dass diese noch nicht auf deren Internetseite verfügbar ist.

  6. Kim O. Fee sagt:

    Doch, gibt es: http://www.vlc.de/
    Plus im VLC "Nach Aktualisierungen suchen" …

    • Günter Born sagt:

      Finger weg von www. vlc .de

      Zitat aus dem Impressum der Seite:

      Lizenzinformation
      Die angebotene Software auf dieser Internetseite wurde im Quelltext nicht verändert und entspricht somit dem Original der entsprechenden Hersteller. Die angebotene Software wird von unserem Installationsprogramm ausgeliefert. Das Installationsprogramm verändert an Ihrem PC die Startseite von verschiedenen Browsern, sowie das Suchfeld. Die Veränderung kann durch die benutzerdefinierte Installationsweise verhindert werden.

    • Dekre sagt:

      Danke, das ist ja mal wieder eine (neue) andere Seite. Irgendwie wird man machmal wischig.
      Das Letztere habe ich ja dann gemacht.

      • Kim O. Fee sagt:

        Das war eben die deutsche Seite, daneben gibt es noch die internationale, die hierzulande automatisch ins Deutsche übersetzt wird (mit dem gleichen Ergebnis): http://www.videolan.org/vlc/download-windows.html
        (so was weiß man halt mit der Zeit …)

        Übrigens … hat schon mal jemand die exe, die 7zip und die zip untereinander verglichen? (aus gutem Grund verwende ich nur die "7z" …)

        • Günter Born sagt:

          Die .exe-Dateien enthalten immer den Installer.

          Die .zip- und .7z-Dateien stellen quasi die portablen Varianten dar.

          Die .zip-Archivdatei ist aktuell 50 MB groß, während die .7z-Archivdatei nur auf knapp 28 MB kommt. Das ist wohl das, was Du meinst.

          Beim .7z-Archiv sollte man aber wissen, dass (zumindest in der aktuellen Fassung) der Ordner sdk mitkommt. Ist für Leute, die die VLC ActiveX-Komponente für den IE oder VB benötigen, möglicherweise interessant.

  7. Hardy sagt:

    Hört sich ja gar nicht gut an,deshalb habe ich eben mal den VLC sich aktualisieren lassen,auf Version 2.2.6 vom 24.5.17.Da ich dem Englischen nicht sehr mächtig bin,konnte ich nicht viel verstehen,was dort stand,aber das es ein Security Update ist,was der Player gefunden hat,hoffe ich das es soweit richtig ist?

  8. Ralf Lindemann sagt:

    Da scheint wirklich was im Busch zu sein. PortableApps.com hat heute gleich zwei VLC-Updates veröffentlicht: erst Version 2.2.5.1, ein paar Stunden später wurde Version 2.2.6 hinterhergeschoben. Sehr ungewöhnlich. Begründung in beiden Fällen: „This version fixes a critical security issue in VLC."

  9. Untertitel lade ich mir sehr oft herunter, ich nutze aber eben direkt die Internet Datenbanken dazu, nutze aber auch den VLC Player nicht.
    Da muss ich eben mal schauen.

Schreibe einen Kommentar zu Ralf Lindemann Antworten abbrechen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros). Kommentare abseits des Themas bitte unter Diskussion.