สรุปสั้น

มีการเปิดเผยช่องโหว่ด้านความมั่นคงสองรายการใน VLC Media Player ที่อาจเปิดทางให้ผู้โจมตีทำหน่วยความจำ heap เสียหาย หรือเปิดเผยข้อมูลที่ละเอียดอ่อนจากหน่วยความจำของเหยื่อได้ ช่องโหว่ทั้งสองถูกติดตามในรหัส CVE-2026-56711 และ CVE-2026-73324 ซึ่งกระทบ VLC Media Player เวอร์ชัน 3.0.0 จนถึง 3.0.23 และต้องอาศัยการหลอกให้เหยื่อเปิดไฟล์สื่อหรือรายการในเพลย์ลิสต์ที่ถูกดัดแปลงเป็นพิเศษ นาย Fabian Wahle จากบริษัท Hap Security เป็นผู้ค้นพบช่องโหว่ทั้งสอง โดย CVE-2026-56711 อยู่ในระดับความรุนแรงสูงด้วยคะแนน CVSS 8.6 ขณะที่ CVE-2026-73324 อยู่ในระดับปานกลางที่คะแนน CVSS 6.9 ทั้งสองรายการถูกเปิดเผยเมื่อวันที่ 9 กันยายน 2569

แม้ช่องโหว่จะต้องอาศัยการหลอกให้ผู้ใช้เปิดไฟล์หรือสตรีมจากแหล่งที่ไม่น่าเชื่อถือ แต่เนื่องจาก VLC เป็นโปรแกรมเล่นสื่อที่ใช้กันแพร่หลายมากทั่วโลก ผลกระทบที่อาจเกิดขึ้นตั้งแต่โปรแกรมล่มไปจนถึงการรันโค้ดตามอำเภอใจ (ขึ้นกับโครงสร้างหน่วยความจำและกลไกป้องกันของแพลตฟอร์ม) จึงมีความสำคัญที่ผู้ใช้ควรระวัง

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 12 กันยายน 2569 ว่า นาย Fabian Wahle จากบริษัท Hap Security ได้ค้นพบและเปิดเผยช่องโหว่สองรายการใน VLC Media Player ซึ่งเป็นซอฟต์แวร์เล่นสื่อโอเพนซอร์สยอดนิยมของ VideoLAN โดยช่องโหว่แรก CVE-2026-56711 เป็น integer overflow และการเขียนนอกขอบเขต (out-of-bounds write) ในตรรกะการจองบัฟเฟอร์รูปภาพของ VLC ซึ่งเชื่อมโยงกับ CWE-190 (Integer Overflow or Wraparound) และ CWE-787 (Out-of-bounds Write)

ช่องโหว่ที่สอง CVE-2026-73324 กระทบโมดูลการเข้าถึง RTSP ของ VLC และสามารถเปิดเผยหน่วยความจำ heap ให้แก่เซิร์ฟเวอร์ RTSP ที่เป็นอันตรายได้ ช่องโหว่นี้จัดอยู่ในกลุ่ม CWE-125 (Out-of-bounds Read) และ CWE-170 (Improper Null Termination) โดยโมดูล RTSP เป็นส่วนที่เลือกได้ตอน build ทำให้ระดับความเสี่ยงอาจแตกต่างกันไปตามแพ็กเกจของแต่ละดิสโทร Linux อย่างไรก็ตามโมดูลนี้ถูกเปิดใช้งานในบิลด์ทางการของ VideoLAN

ช่องโหว่ทั้งสองกระทบ VLC Media Player เวอร์ชัน 3.0.0 จนถึง 3.0.23 ผู้ใช้ควรติดตามคลังโครงการทางการของ VideoLAN และประกาศจากผู้ดูแลแพ็กเกจของแต่ละดิสโทร เพื่อรอการอัปเดตด้านความมั่นคงและเวอร์ชันที่แก้ไขแล้ว

รายละเอียดช่องโหว่

CVE-2026-56711 อยู่ในฟังก์ชัน AllocatePicture ภายในคอมโพเนนต์ src/misc/picture.c ของ VLC ซึ่งคำนวณขนาดบัฟเฟอร์รวมที่ต้องใช้สำหรับ plane ของภาพที่ถอดรหัสแล้ว โดยนำค่า i_pitch คูณกับ i_lines ค่าทั้งสองถูกกำหนดเป็น signed int ในไฟล์ include/vlc_picture.h เนื่องจากการคูณใช้เลขคณิตแบบ 32 บิต ภาพที่เป็นอันตรายซึ่งมีขนาดใหญ่มากจึงทำให้ค่าที่คำนวณได้ล้น (wrap around) และ VLC อาจจองพื้นที่หน่วยความจำเล็กกว่าที่ตัวถอดรหัสต้องการจริงมาก การตรวจสอบที่มีอยู่ไม่สามารถป้องกันได้เพียงพอ เพราะการตรวจสอบหนึ่งใช้เลขคณิต 64 บิตแต่ไม่ได้จำกัดการคูณ 32 บิตก่อนหน้า ส่วนอีกการตรวจสอบหนึ่งประเมินค่าที่ล้นไปแล้ว ทำให้ขนาดที่เป็นอันตรายผ่านการตรวจได้ ผู้โจมตีสามารถใช้ไฟล์ภาพ PNG ที่สร้างขึ้นเป็นพิเศษ ระบุค่าความกว้างและความสูงเกินจริงในส่วนหัว IHDR ทำให้เมื่อตัวถอดรหัส PNG ประมวลผล scanline ตามขนาดที่ผู้โจมตีควบคุม จะเกิดการเขียนเลยบัฟเฟอร์ heap ขนาดเล็กที่จองไว้

CVE-2026-73324 เกิดขึ้นเมื่อ VLC อ่านบรรทัดการตอบกลับ RTSP ในไฟล์ modules/access/rtsp/access.c โดยฟังก์ชัน RtspReadLine ใช้ strncpy คัดลอกบรรทัดตอบกลับเข้าบัฟเฟอร์ขนาดคงที่ แต่หากบรรทัดที่เซิร์ฟเวอร์ควบคุมมีความยาวอย่างน้อย 4096 ไบต์ strncpy จะไม่เติม null terminator ต่อมา VLC ส่งบัฟเฟอร์ที่ไม่มี null terminator นี้ไปยัง strdup ซึ่งคาดหวังสตริงที่ปิดท้ายด้วย null จึงอ่านหน่วยความจำเลยบัฟเฟอร์ที่จองไว้ไปเรื่อย ๆ จนกว่าจะเจอไบต์ศูนย์ อินพุตที่เป็นช่องโหว่คือส่วนหัว RTSP Session ที่ VLC เก็บไว้เป็นตัวระบุเซสชันและส่งกลับไปยังเซิร์ฟเวอร์ในคำขอถัดไป ทำให้เซิร์ฟเวอร์ที่เป็นศัตรูได้รับหน่วยความจำ heap ที่อยู่ติดกันของไคลเอนต์ VLC โดยตรง ช่องโหว่นี้ถูกกระตุ้นได้ผ่านเพลย์ลิสต์อันตรายที่มี URL แบบ realrtsp

ผลกระทบ

ช่องโหว่ทั้งสองต้องอาศัยการหลอกให้เหยื่อเปิดไฟล์หรือสตรีมจากแหล่งที่ไม่น่าเชื่อถือ ซึ่งเป็นสถานการณ์ที่เกิดขึ้นได้จริงผ่านการดาวน์โหลดไฟล์สื่อ การเปิดเพลย์ลิสต์ที่แนบมากับอีเมล หรือการเปิดสตรีม RTSP จากลิงก์ที่ไม่รู้ที่มา CVE-2026-56711 ที่รุนแรงกว่าอาจนำไปสู่การรันโค้ดตามอำเภอใจได้ในบางสภาพแวดล้อม ขณะที่ CVE-2026-73324 เปิดทางให้เซิร์ฟเวอร์ที่เป็นอันตรายค่อย ๆ ดูดข้อมูลจากหน่วยความจำของเครื่องเหยื่อออกไป

เนื่องจาก VLC เป็นซอฟต์แวร์เล่นสื่อที่มีผู้ใช้จำนวนมหาศาลทั้งบนเครื่องผู้ใช้ทั่วไปและในองค์กร ช่องโหว่ในเวอร์ชัน 3.0.0 ถึง 3.0.23 จึงครอบคลุมฐานผู้ใช้ที่กว้าง ผู้ที่ยังไม่ได้อัปเดตและมักเปิดไฟล์สื่อจากแหล่งภายนอกจึงมีความเสี่ยงที่จับต้องได้

คำแนะนำ

จนกว่าจะมีเวอร์ชันแก้ไข ผู้ใช้ควรหลีกเลี่ยงการเปิดไฟล์ PNG เพลย์ลิสต์สื่อ และสตรีม RTSP ที่ได้รับจากแหล่งที่ไม่น่าเชื่อถือ และควรติดตามประกาศจาก VideoLAN และผู้ดูแลแพ็กเกจของดิสโทรเพื่ออัปเดตทันทีที่มีแพตช์ออกมา

สำหรับองค์กร ควรจำกัดการรัน VLC ในสภาพแวดล้อมที่มีความเสี่ยงสูง บล็อกการเชื่อมต่อ RTSP ที่ไม่น่าเชื่อถือเท่าที่ทำได้ และใช้การเฝ้าระวังที่ระดับ endpoint เพื่อตรวจจับไฟล์สื่อที่น่าสงสัยหรือความพยายามส่งเพลย์ลิสต์อันตราย รวมถึงพิจารณาควบคุมเวอร์ชันของ VLC ที่ติดตั้งในเครื่องขององค์กรให้เป็นเวอร์ชันที่ปลอดภัยเมื่อแพตช์พร้อมใช้งาน

แหล่งอ้างอิง