“天塌下来了，马上卸载VLC！“这是一些网站提供的建议。但据称VLC的缺陷被夸大了，据VLC的开发者说，这甚至可能不是一个真正的风险。

这场骚动都是从CVE-2019-13615的发布开始的，CVE-2019-13615被标记为“严重”漏洞，满分为9.8分。VLC的开发人员不高兴，他们甚至没有联系之前公布的这个缺陷。

Hey @MITREcorp and @CVEnew , the fact that you NEVER ever contact us for VLC vulnerabilities for years before publishing is really not cool; but at least you could check your info or check yourself before sending 9.8 CVSS vulnerability publicly…

— VideoLAN (@videolan) July 23, 2019

但这很糟糕，对吧？这是十分之九点八的安全漏洞，听起来像是即将到来的核打击。据报道，该缺陷可能导致远程代码执行，这是不好的。攻击者可以通过VLC中的一个bug来控制您的系统。

正如CVE所解释的，该缺陷需要播放格式错误的MKV文件。理论上，如果你从网上下载一个恶意的MKV文件并运行它，它可能会危害VLC，尽管没有人声称这在现实世界中发生过。另外，macOS版本的VLC似乎没有受到影响。

所以，即使这个缺陷看起来很糟糕，你也要小心MKV文件不要下载不受信任的MKV文件并在VLC中播放它们，直到补丁发布。如果你是盗版媒体，请远离MKV。

但别那么快！VLC的开发者说他们甚至不能重现这个问题，这表明原始的漏洞报告存在严重的问题。

Did you even check this? No one can reproduce this issue here.

— VideoLAN (@videolan) July 23, 2019

归根结底，在VLC修补此缺陷之前，最好不要使用下载的MKV文件。但这就是你真正需要做的，即使这样也有点偏执。

正如VLC的开发人员在VideoLAN bug tracker上所解释的：

“Sorry, but this bug is not reproducible and does not crash VLC at all.” -Jean-Baptiste Kempf

“If you land on this ticket through a news article claiming a critical flaw in VLC, I suggest you to read the above comment first and rec***ider your (fake) news sources.” -Francois Cartegnie

“This does not crash a normal release of VLC 3.0.7.1” -Jean-Baptiste Kempf

更新：下面是VideoLAN更冗长的回复。据开发人员说，目前的VLC软件根本没有缺陷。

So, a reporter, opened a bug on our bugtracker, which is outside of the reporting policy, aka, mail us in private on the security alias. Of course, our bugtracker is public.

We could not, of course reproduce the issue, and tried to contact the security researcher, in private.

— VideoLAN (@videolan) July 24, 2019