„`html
Zusammenfassung
CVE-2026-47114 beschreibt eine kritische Remote Command Execution (RCE) Anfälligkeit im IINA Media Player vor Version 1.4.3. Die Schwachstelle ermöglicht es Angreifern, über manipulierte URLs mit dem Custom URL Scheme iina://open beliebige Kommandos auszuführen. Die Anfälligkeit wird als „High“ eingestuft mit einem CVSS-Score von 8.8 und erfordert lediglich die Bestätigung eines Browser-Protokoll-Prompts durch den Benutzer.
Betroffene Systeme
Die Anfälligkeit betrifft IINA Media Player-Installationen vor Version 1.4.3 auf macOS-Systemen. IINA ist ein beliebter Open-Source Video-Player für macOS, der auf der mpv-Engine basiert. Alle Versionen unterhalb von 1.4.3 sind anfällig.
Technische Details
Der Angriff funktioniert über eine unzureichende Validierung von URL-Parametern im iina:// Custom URL Scheme Handler. Angreifer können speziell präparierte URLs mit mpv-prefixierten Query-Parametern konstruieren, beispielsweise iina://open?mpv_options=--input-commands=...&mpv_params=malicious_command. Diese Parameter werden direkt und ohne Validierung an die mpv-Runtime weitergeleitet. Wird die URL über einen Browser aufgerufen und vom Benutzer bestätigt, führt mpv die in den Parametern eingebetteten Kommandos mit den Privilegien des aktuellen macOS-Benutzers aus – unabhängig davon, ob eine valide Media-Datei vorhanden ist.
Empfohlene Massnahmen
Patch: Derzeit ist kein Patch verfügbar. Benutzer sollten den GitHub-Repository und die offizielle Website auf Updates überprüfen.
Workarounds: Deaktivieren Sie den iina:// URL Scheme Handler in der Browser-Konfiguration, falls möglich. Seien Sie extrem vorsichtig beim Öffnen unbekannter Links.
Monitoring: Überwachen Sie Browser-Verlauf auf verdächtige iina:// URLs. Implementieren Sie User-Awareness-Training gegen Phishing-Kampagnen mit manipulierten Links.
Bewertung
Aufgrund des hohen CVSS-Scores (8.8), der einfachen Ausnutzbarkeit und der fehlenden Patches ist schnelle Maßnahmen erforderlich. IINA-Nutzer sollten das System isolieren oder den Player deinstallieren, bis ein Patch verfügbar ist.
„`