Dwie luki w VLC media player, a łatki wciąż nie ma

Zwykła rada przy podatnościach brzmi: zaktualizuj program. Tutaj ta rada nie działa, bo aktualizować nie ma do czego. Badacz Fabian Wahle z firmy Hap Security znalazł w odtwarzaczu dwa błędy pamięci, a firma VulnCheck opublikowała ich opisy 9 września 2026. Obie luki dotyczą wersji od 3.0.0 do 3.0.23 włącznie. Najnowsze wydanie gałęzi 3.0, które projekt VideoLAN oferuje do pobrania, to na 13 września nadal 3.0.23. Nie ma więc numeru wersji, na który można by przejść.

Na czym polegają obie luki w VLC media player

Pierwsza, oznaczona jako CVE-2026-56711, siedzi w kodzie przydzielającym pamięć na klatkę obrazu. Program mnoży szerokość linii przez liczbę linii, żeby policzyć rozmiar bufora. Oba pola są liczbami całkowitymi 32-bitowymi, więc przy odpowiednio dużych wartościach wynik mnożenia się zawija.

Skutek jest prosty do opisania. Spreparowany plik PNG podaje w nagłówku zawyżone wymiary. Odtwarzacz wylicza z nich za mały bufor i przydziela go. Potem dekoder zapisuje kolejne linie obrazu poza przydzielonym miejscem. Zapis poza zakresem sterty jest klasycznym punktem wyjścia do wykonania własnego kodu.

Druga luka, CVE-2026-73324, dotyczy obsługi strumieni RealRTSP. Funkcja czytająca linie odpowiedzi serwera kopiuje je do bufora stałego rozmiaru. Gdy linia ma co najmniej 4096 bajtów, kopia nie dostaje znaku kończącego ciąg. Późniejsze kopiowanie tego samego bufora czyta więc pamięć dalej, aż trafi na zero.

Tu jest szczegół, który tę lukę wyróżnia. Wrażliwym polem jest nagłówek Session, a odtwarzacz zapisuje jego zawartość jako identyfikator sesji i odsyła ją serwerowi w kolejnych żądaniach. Operator złośliwego serwera nie musi więc niczego zgadywać, bo fragment pamięci spod bufora wraca do niego sam. Dokładnej długości wycieku nie kontroluje, bo odczyt kończy się na pierwszym napotkanym bajcie zerowym.

8,6 czy 8,8? Skąd biorą się dwie różne oceny

W relacjach krążą dwa komplety liczb i warto wiedzieć, skąd się biorą. Advisory VulnChecka podaje 8,6 dla pierwszej luki i 6,9 dla drugiej, w skali CVSS w wersji 4.0. Wektory zaczynają się od CVSS:4.0, więc nie ma tu wątpliwości.

Wartości 8,8 i 6,5 pochodzą z ocen w starszej skali 3.1, którą stosuje część baz podatności. Obie pary są poprawne w swoich skalach i żadna nie jest pomyłką. Podawanie ich obok siebie bez wyjaśnienia zamienia się jednak w informacyjny bałagan, a właśnie tak wyglądają niektóre relacje.

Jedną rzecz z wektora warto przeczytać osobno, bo mówi więcej niż sama liczba. Oba wektory mają człon UI:A, czyli wymagają aktywnego udziału użytkownika. Samo zainstalowanie odtwarzacza nie wystarczy do ataku. Ktoś musi otworzyć spreparowany plik albo połączyć się ze złośliwym strumieniem.

Dlaczego łatki nadal nie ma

Projekt VideoLAN wydaje biuletyny bezpieczeństwa przypisane do konkretnych wydań. Najnowszy z nich dotyczy wersji 3.0.22 i pochodzi z 2025 roku. Dla tych dwóch podatności biuletynu nie ma, tak samo jak nie ma nowego wydania.

Nie ma też publicznego stanowiska projektu ani deklaracji terminu. Sprawdziliśmy 13 września stronę bezpieczeństwa oraz listę wydań VideoLAN i stan jest taki sam jak w dniu publikacji opisów. Nikt nie potwierdził również wykorzystania żadnej z tych luk w praktyce.

Warto to zestawić z tym, co dzieje się przy innych produktach. Google załatał niedawno lukę w silniku V8, która była już wykorzystywana w atakach, a Microsoft zamyka setki błędów w comiesięcznym wrześniowym zestawie poprawek. VLC jest projektem otwartoźródłowym utrzymywanym przez organizację niekomercyjną i pracuje w innym rytmie. Dla użytkownika liczy się jednak sam wynik, a wynikiem jest brak wersji do zainstalowania.

Co zrobić, zanim wyjdzie poprawka

Odinstalowanie odtwarzacza byłoby reakcją nieproporcjonalną do ryzyka. Sensowna jest zmiana kilku nawyków na najbliższe tygodnie.

• Nie otwieraj plików multimedialnych z nieznanych źródeł. Pierwsza luka wykorzystuje spreparowany obraz PNG, a załączniki, torrenty i pliki z komunikatora to dokładnie ta droga.
• Odpuść strumienie RTSP z przypadkowych adresów. Druga luka wymaga połączenia z serwerem kontrolowanym przez napastnika. Strumienie z własnej sieci ograniczają ryzyko tylko wtedy, gdy serwer i urządzenia są zaufane.
• Czekaj na wydanie, które wprost zamyka te dwa numery CVE. Sam wyższy numer wersji niczego nie przesądza. Gdy VideoLAN opublikuje wydanie z opisem potwierdzającym usunięcie CVE-2026-56711 i CVE-2026-73324, zainstaluj je od razu.
• Nie szukaj bezpiecznej wersji programu w wyszukiwarce. Przy głośnej luce pojawiają się strony podszywające się pod projekt. Odtwarzacz pobieraj z videolan.org albo z zaufanego repozytorium swojego systemu.
• W firmie potraktuj to jak pozycję na liście, nie jak alarm. Warto wiedzieć, gdzie odtwarzacz jest zainstalowany, żeby po wydaniu poprawki wgrać ją wszędzie za jednym razem.

Osobna uwaga dotyczy telefonów i innych gałęzi programu. Opisy VulnChecka mówią o gałęzi 3.0 odtwarzacza na komputery. Wersje mobilne mają własną numerację i własny cykl wydań, więc numer 3.0.23 nie przekłada się na nie wprost.

Pierwsza Misja AI · Kodożercy

Używasz AI codziennie, ale czy robisz to dobrze?

Kurs Pierwsza Misja AI pokaże Ci techniki promptowania, które naprawdę działają. Praktyczne ćwiczenia na żywym modelu, gamifikacja i certyfikat.

Sprawdź program kursu →

Podsumowanie

Dwa błędy pamięci w gałęzi 3.0 odtwarzacza zostały opisane 9 września 2026 i obejmują wszystkie wydania od 3.0.0 do 3.0.23. Pierwszy pozwala spreparowanym plikiem PNG doprowadzić do zapisu poza przydzielonym buforem, drugi wystawia fragmenty pamięci operatorowi złośliwego serwera strumieniowego. VulnCheck ocenia je na 8,6 i 6,9 w skali CVSS 4.0, a rozbieżne wartości z relacji pochodzą ze starszej skali 3.1. Oba scenariusze wymagają, żeby użytkownik sam otworzył plik albo strumień z niezaufanego źródła. Na 13 września projekt VideoLAN nie wydał poprawki, biuletynu ani terminu. Do tego czasu najprostszym sposobem ograniczenia ryzyka jest nieotwieranie plików i strumieni z niezaufanych źródeł.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.