VLC 开发者否认高危漏洞报道

VLC 传出了一个高危漏洞，允许远程攻击者执行任意代码，漏洞据称影响最新版本。对这一报道，VLC 开发者公开予以否认，它通过 Twitter 账号澄清，称漏洞存在于第三方库 libebml 中，已经在 16 个月前修复，VLC 从 v3.0.3 起用的是已修复的版本。开发者称他们没有复现问题，在联络发现问题的安全研究人员后，他们发现对方用的是 Ubuntu 18.04，库没有完全更新。开发者称发出 CVE 编号的 MITREcorp 根本没有联系他们去确认问题。这不是第一次 MITREcorp 这么做，事实上当 MITREcorp 在 VLC 中发现安全问题之后它从未联络过 VLC 的开发者，只有在漏洞公开之后，用户或发行商询问他们之后他们才知道。开发者抱怨了媒体和发出 CVE 的安全机构。Media

https://www.solidot.org/story?sid=61477