Две уязвимости в сигурността на VLC Media Player биха могли да позволят на атакуващи да компрометират хип паметта (heap memory) или да разкрият чувствителни данни от паметта на жертвата.

Пропуските, проследявани като CVE-2026-56711 и CVE-2026-73324, засягат версии на VLC Media Player от 3.0.0 до 3.0.23 и изискват жертвата да отвори специално манипулиран медиен файл или запис в плейлист.

Фабиан Вале (Fabian Wahle) от Hap Security откри уязвимостите. CVE-2026-56711 има висока степен на сериозност с CVSS оценка 8.6, докато CVE-2026-73324 е оценена със средна сериозност и CVSS оценка 6.9. И двата проблема бяха оповестени на 9 септември 2026 г.

CVE-2026-56711 представлява уязвимост от тип препълване на целочислени стойности (integer overflow) и запис извън границите на буфера (out-of-bounds write) в логиката за заделяне на буфер за изображения във VLC. Недостатъкът е свързан с CWE-190 (Integer Overflow or Wraparound) и CWE-787 (Out-of-bounds Write).

Множество уязвимости във VLC Media Player

Проблемът съществувавъв функцията AllocatePicture в компонента src/misc/picture.c на VLC. VLC изчислява общия размер на буфера, необходим за декодираните равнини на изображението, като събира стойности, получени от i_pitch * i_lines. И двете стойности са дефинирани като полета със знак int в include/vlc_picture.h.

Тъй като умножението използва 32-битова аритметика, злонамерено изображение с изключително големи размери може да предизвика препълване на изчислената стойност (wrap around). В резултат VLC може да задели значително по-малък регион в паметта от този, от който декодерът действително се нуждае.

Съществуващите проверки не предотвратяват ефективно това състояние. Една от процедурите за валидация извършва деление с 64-битова аритметика, но тя не ограничава предхождащото 32-битово умножение. Друга проверка оценява вече препълнения резултат, което позволява на злонамерените размери да преминат валидацията.

Атакуващ може да експлоатира недостатъка чрез манипулирано PNG изображение с прекомерно големи стойности за ширина и височина в неговия IHDR заглавен блок. Дeмултиплексорът за изображения на VLC проверява размера на входния файл, но не валидира правилно декларираните размери на изображението.

Когато PNG декодерът обработва редовете от сканирането (scanlines) въз основа на първоначалните размери, контролирани от атакуващия, той записва данни извън границите на малкия заделен хип буфер.

Успешната експлоатация би могла да доведе до компрометиране на хип паметта, срив на приложението или потенциално изпълнение на произволен код, в зависимост от подредбата на паметта и защитите на платформата.

CVE-2026-73324 засяга RTSP модула за достъп на VLC и може да разкрие съдържание от хип паметта пред злонамерен RTSP сървър. Уязвимостта е класифицирана като CWE-125 (Out-of-bounds Read) и CWE-170 (Improper Null Termination).

Грешката възниква, когато VLC чете редове от RTSP отговор в modules/access/rtsp/access.c. Функция RtspReadLine използва strncpy, за да копира ред от отговора във фиксиран по размер буфер. В случай че контролираният от сървъра ред е с дължина поне 4096 байта, strncpy не добавя завършващ нулев символ (null terminator).

Впоследствие VLC предава този незавършен буфер на strdup в modules/access/rtsp/rtsp.c. Тъй като strdup очаква C-низ със завършваща нула, той продължава да чете памет извън заделения буфер, докато не открие нулев байт.

Уязвимата входна стойност е заглавният блок RTSP Session. VLC съхранява копираните данни като идентификатор на сесия и ги изпраща обратно към RTSP сървъра при последващи заявки. Това поведение дава на враждебен сървър директен начин да получи съседна хип памет от клиента на VLC.

Зловреден плейлист, съдържащ realrtsp URL адрес, може да задейства пропуска, когато жертвата го отвори. Модулът RTSP е опционален по време на компилиране, което означава, че излагането на риск може да варира между различните пакети за Linux дистрибуции. В официалните версии на VideoLAN обаче той е активиран по подразбиране.

Уязвимостите засягат версии на VLC Media Player от 3.0.0 до 3.0.23. Потребителите трябва да следят официалното хранилище на проекта VideoLAN и бюлетините на поддържащите дистрибуциите за корекции за сигурност и обновени версии.

Докато не бъдат налични корекции за сигурност, потребителите трябва да избягват отварянето на PNG файлове, медийни плейлисти и RTSP потоци, получени от ненадеждни източници. Организациите трябва също да ограничат изпълнението на VLC в рискови среди, да блокират ненадеждни RTSP връзки, където е възможно, и да използват системи за мониторинг на крайни точки, за да откриват съмнителни медийни файлове или опити за доставяне чрез плейлисти.