Se han detectado dos vulnerabilidades de seguridad (CVE-2026-56711 y CVE-2026-73324) en VLC Media Player, específicamente en las versiones 3.0.0 hasta la 3.0.23. Estos fallos podrían permitir que un atacante corrompa la memoria heap o revele datos sensibles de la memoria de la víctima si esta abre un archivo de medios o una entrada de lista de reproducción especialmente diseñados.

Dos vulnerabilidades de seguridad en VLC Media Player podrían permitir que los atacantes corrompan la memoria heap o revelen datos sensibles de la memoria de una víctima.

Los fallos, rastreados como CVE-2026-56711 y CVE-2026-73324, afectan a las versiones de VLC Media Player desde la 3.0.0 hasta la 3.0.23 y requieren que tú, como víctima, abras un archivo de medios o una entrada de lista de reproducción especialmente diseñados.

Fabian Wahle, de Hap Security, descubrió las vulnerabilidades. El CVE-2026-56711 tiene una calificación de severidad alta con una puntuación CVSS de 8.6, mientras que el CVE-2026-73324 tiene una severidad media con una puntuación CVSS de 6.9. Ambos problemas fueron revelados el 9 de septiembre de 2026.

CVE-2026-56711 es un desbordamiento de enteros y una vulnerabilidad de escritura fuera de límites en la lógica de asignación del búfer de imágenes de VLC. El fallo está asociado con CWE-190 (Desbordamiento de Enteros o Envolvimiento) y CWE-787 (Escritura fuera de límites).

Múltiples Vulnerabilidades en VLC Media Player

El problema existe en la función AllocatePicture dentro del componente src/misc/picture.c de VLC. VLC calcula el tamaño total del búfer necesario para los planos de imagen decodificados sumando valores derivados de i_pitch * i_lines. Ambos valores están definidos como campos de enteros con signo en include/vlc_picture.h.

Debido a que la multiplicación utiliza aritmética de 32 bits, una imagen maliciosa con dimensiones extremadamente grandes puede causar que el valor calculado se "envuelva" (wrap around). Entonces, VLC puede asignar una región de memoria mucho más pequeña de la que el decodificador realmente necesita.

Las comprobaciones existentes no previenen adecuadamente esta condición. Una rutina de validación realiza la división utilizando aritmética de 64 bits, pero no restringe la multiplicación de 32 bits precedente. Otra comprobación evalúa el resultado ya envuelto, permitiendo que las dimensiones maliciosas pasen la validación.

Un atacante puede explotar el fallo utilizando una imagen PNG manipulada con valores de ancho y alto excesivos en su cabecera IHDR. El demultiplexor de imágenes de VLC comprueba el tamaño del archivo de entrada, pero no valida correctamente las dimensiones declaradas de la imagen.

Cuando el decodificador de PNG procesa las líneas de escaneo basándose en las dimensiones originales controladas por el atacante, escribe más allá del pequeño búfer de memoria heap asignado.

Una explotación exitosa podría causar la corrupción de la memoria heap, caídas de la aplicación o, potencialmente, la ejecución de código arbitrario, dependiendo de la disposición de la memoria y las protecciones de la plataforma.

El CVE-2026-73324 afecta al módulo de acceso RTSP de VLC y puede exponer la memoria heap a un servidor RTSP malicioso. La vulnerabilidad está clasificada como CWE-125 (Lectura fuera de límites) y CWE-170 (Terminación nula incorrecta).

El error ocurre cuando VLC lee las líneas de respuesta RTSP en modules/access/rtsp/access.c. La función RtspReadLine utiliza strncpy para copiar una línea de respuesta en un búfer de tamaño fijo. Sin embargo, si la línea controlada por el servidor tiene al menos 4096 bytes de longitud, strncpy no añade un terminador nulo.

Más adelante, VLC pasa este búfer sin terminar a strdup en modules/access/rtsp/rtsp.c. Dado que strdup espera una cadena de C terminada en nulo, continúa leyendo la memoria más allá del búfer asignado hasta que encuentra un byte cero.

La entrada vulnerable es la cabecera de Sesión RTSP. VLC almacena los datos copiados como un identificador de sesión y los envía de vuelta al servidor RTSP en solicitudes posteriores. Este comportamiento le da a un servidor hostil una forma directa de recibir memoria heap adyacente del cliente VLC.

Una lista de reproducción maliciosa que contenga una URL realrtsp puede activar el fallo cuando tú la abras. El módulo RTSP es opcional al momento de la compilación, lo que significa que la exposición puede variar entre los paquetes de las distribuciones de Linux. Sin embargo, está habilitado en las compilaciones oficiales de VideoLAN.

Las vulnerabilidades afectan a VLC Media Player versiones 3.0.0 a 3.0.23. Debes monitorizar el repositorio oficial del proyecto VideoLAN y los avisos de los mantenedores de tu distribución para obtener actualizaciones de seguridad y versiones parcheadas.

Hasta que haya correcciones disponibles, debes evitar abrir archivos PNG, listas de reproducción de medios y flujos RTSP recibidos de fuentes no confiables. Las organizaciones también deberían restringir la ejecución de VLC en entornos de alto riesgo, bloquear las conexiones RTSP no confiables donde sea práctico y utilizar la monitorización de endpoints para detectar archivos de medios sospechosos o intentos de entrega basados en listas de reproducción.