VLC-Sicherheitslücken: Manipulierte Streams können Speicherinhalte auslesen
VLC-Sicherheitslücken gefährden Nutzer: Manipulierte PNGs können Codeausführung ermöglichen, RTSP-Antworten Speicherinhalte preisgeben.
Zwei VLC-Sicherheitslücken bringen Nutzer des beliebten Media Players ins Visier. Betroffen sind die Versionen 3.0.0 bis einschließlich 3.0.23. Für die aktuelle Version gibt es derzeit noch keinen verifizierten Fix.
Der VLC Media Player gilt als Alleskönner für nahezu jedes Video- und Audioformat. Aktuell sorgen jedoch zwei neu veröffentlichte VLC-Sicherheitslücken für Aufmerksamkeit. Sie betreffen die Versionen 3.0.0 bis einschließlich 3.0.23. Eine Schwachstelle kann durch manipulierte PNG-Dateien einen Schreibzugriff über das Ende eines reservierten Speicherbereichs hinaus auslösen und dadurch den Speicher des Players beschädigen. Die andere Sicherheitslücke ermöglicht es hingegen einem Angreifer, über einen präparierten RTSP-Server angrenzende Speicherinhalte des Players auszulesen. Bei der PNG-Lücke ist zudem eine Codeausführung möglich.
VLC-Sicherheitslücken: Zwei Lücken, zwei Angriffswege
Der VLC Media Player ist auf zahlreichen Rechnern derzeit im Einsatz. Das Programm zeichnet sich durch seine Vielseitigkeit aus. Es spielt Streams ab, öffnet Playlists und unterstützt zudem unterschiedliche Medienformate. Für Angreifer bietet die Verarbeitung solcher Inhalte allerdings eine potenzielle Angriffsfläche. Betroffen sind VLC-Versionen 3.0.0 bis einschließlich 3.0.23. Die beiden Schwachstellen tragen die Kennungen CVE-2026-56711 und CVE-2026-73324. Entdeckt und gemeldet wurden die beiden Schwachstellen von Fabian Wahle von Hap Security.
Technisch gesehen unterscheiden sich die beiden VLC-Schwachstellen voneinander. Bei CVE-2026-56711 geht es um einen fehlerhaften Schreibzugriff bei der Verarbeitung von PNG-Dateien. CVE-2026-73324 betrifft dagegen die Verarbeitung von RealRTSP-Antworten und kann einen ungewollten Lesezugriff auf angrenzende Daten im Heap ermöglichen.
Präpariertes PNG kann VLC zum Absturz bringen
Die schwerwiegendere der beiden aktuellen VLC-Schwachstellen trägt die Kennung CVE-2026-56711. Ursache ist ein Integer-Overflow bei der Berechnung des benötigten Speichers für einen Bildpuffer. Dabei überschreitet der berechnete Ganzzahlwert seinen zulässigen Wertebereich, wodurch die benötigte Speichergröße falsch berechnet wird. Eine speziell präparierte PNG-Datei kann dafür ungewöhnlich große Bildabmessungen vorgeben. Bei der Berechnung in der 32-Bit-Arithmetik kommt es dadurch zu einem Überlauf. Daraufhin reserviert VLC einen zu kleinen Speicherbereich.
Daraus resultiert ein sogenannter Heap Out-of-Bounds Write. Dabei schreibt der PNG-Decoder Daten außerhalb des dafür vorgesehenen Speicherbereichs. Das kann zu einem Programm-Absturz führen, ist aus sicherheitstechnischer Sicht aber problematischer. Red Hat beschreibt CVE-2026-56711 als Schwachstelle, die eine beliebige Codeausführung ermöglichen kann.
Für einen Angriff muss das Opfer die manipulierte Datei allerdings verarbeiten. Laut technischer Beschreibung reicht es bereits aus, die PNG-Datei direkt zu öffnen oder sie über einen Playlist-Eintrag von VLC verarbeiten zu lassen. Besondere, vom Nutzer aktiv gesetzte Einstellungen sind dafür nicht erforderlich.
Die Schwachstelle wird nach CVSS 3.1 mit 8,8 von 10 Punkten bewertet. Nach dem neueren CVSS-4.0-System sind es 8,6 Punkte. Beide Bewertungen entsprechen der Risikostufe „hoch“.
RTSP-Lücke liest Speicher des VLC-Prozesses aus
Die zweite Lücke trägt die Kennung CVE-2026-73324. Hier geht es um die Verarbeitung von RTSP-Antworten im entsprechenden VLC-Modul. Das Problem entsteht bei einer vom Server kontrollierten Antwortzeile. VLC kopiert diese in einen fest dimensionierten Puffer. Ist die Zeile mindestens 4.096 Byte lang, garantiert die verwendete Funktion jedoch keine abschließende Nullterminierung. VLC behandelt den Inhalt aber dennoch wie einen gewöhnlichen C-String.
Daraufhin kann der Player beim Auslesen über das Ende des reservierten Puffers hinauslesen. Dabei gelangen angrenzende Daten aus dem Heap-Speicher des VLC-Prozesses mit in die Ausgabedaten. Die ausgelesenen Bytes werden Teil der Session-ID und werden bei weiteren Anfragen an den RTSP-Server zurückgesendet. Der Betreiber des präparierten Servers kann dadurch Speicherinhalte des VLC-Clients erhalten.
Ein entsprechender RealRTSP-Link in einer Playlist kann laut technischer Beschreibung bereits ausreichen, um die Schwachstelle anzusprechen. Damit ist auch hier eine Interaktion des Nutzers mit entsprechend präpariertem Inhalt erforderlich.
CVE-2026-73324 wird nach CVSS 3.1 mit 6,5 bewertet. Nach CVSS 4.0 liegt der Wert bei 6,9. Damit fällt auch diese Schwachstelle in die Kategorie „mittel“.
VLC 3.0.23 ist weiterhin betroffen: noch kein verifizierter Patch in Sicht
Die Version VLC 3.0.23 ist sogar gleich von beiden Schwachstellen betroffen. Die CVE-Datenbanken führen den gesamten Versionsbereich von 3.0.0 bis einschließlich 3.0.23 als verwundbar. Somit kann sich, auch wer bereits die aktuelle VLC-Version installiert hat, nicht einfach zurücklehnen. VideoLAN führt auf seinen offiziellen Download-Seiten weiterhin Version 3.0.23 als aktuelle Version für Windows. Auch die offizielle Security-Übersicht nennt derzeit keine neuere 3.0-Version, die diese beiden Lücken behebt. Pirat_Nation weist auf X ebenfalls auf den bisher fehlenden Patch hin.
Two security flaws have been found in VLC Media Player, and they could put users at risk if they open malicious files or streams.
They are tracked as “CVE-2026-56711” and “CVE-2026-73324” and affect VLC 3.0.0 through 3.0.23.
> The first one is the more serious issue. A… pic.twitter.com/1JBfjXjMrJ
— Pirat_Nation 🔴 (@Pirat_Nation) September 12, 2026
Somit ist momentan kein „Update und erledigt“-Ausweg in Sicht. Die 3.0.23 wurde zwar bereits mit Sicherheits- und Stabilitätsverbesserungen veröffentlicht. Die nun bekannt gewordenen Schwachstellen betreffen jedoch auch diese Version.
Somit ist für CVE-2026-56711 derzeit kein verifizierter Hersteller-Fix dokumentiert. Auch eine belastbare Mitigation, die die Schwachstelle unter den üblichen Anforderungen zuverlässig entschärft, ist nicht ausgewiesen. Red Hat führt aktuell keine geeignete Abhilfe an. Auch für CVE-2026-73324 ist in den aktuellen CVE-Daten kein behobener Versionsstand angegeben. Die betroffene Produktspanne reicht weiterhin bis VLC 3.0.23.
VLC-Sicherheitslücken: So schützen sich VLC-Nutzer
Bis ein korrigiertes VLC-Release verfügbar ist, sollten Anwender besonders vorsichtig mit unbekannten PNG-Dateien, Playlists und RTSP-Quellen umgehen. Dateien aus nicht vertrauenswürdigen Quellen sollten dabei nicht mit VLC geöffnet werden. Das gilt zudem für Playlists oder Links, die man zugeschickt bekommt. Ein Eintrag darin kann schon auf eine präparierte Ressource verweisen. Der Nutzer erkennt dabei nicht, was VLC im Hintergrund verarbeitet. Auch bei Streams sollte man besser einmal mehr prüfen, woher die Quelle stammt.
Wer VLC in einer kontrollierten Unternehmensumgebung betreibt, sollte zudem prüfen, ob nicht benötigte Funktionen und Protokolle deaktiviert oder deren Nutzung eingeschränkt werden können. Bei der RealRTSP-Lücke ist außerdem relevant, dass die betroffene Funktion in offiziellen VideoLAN-Builds vorhanden ist. Bei VLC-Paketen von Linux-Distributionen kann die RealRTSP-Unterstützung dagegen deaktiviert sein.
Bis VideoLAN einen entsprechenden Fix bereitstellt, ist besondere Vorsicht bei unbekannten Medien, Playlists und Streaming-Quellen geboten. Erscheinen Medieninhalte auch auf den ersten Blick harmlos, so kann dennoch eine PNG-Datei, eine Playlist oder ein Stream technisch Daten enthalten, die einen Fehler in der Verarbeitung gezielt ausnutzen.