VLC播放器多个误差清静通告

宣布时间 2019-08-21

? 误差编号和级别


CVE编号：CVE-2019-13602，危险级别：高危，CVSS分值：8.8
CVE编号：CVE-2019-13962，危险级别：严重，CVSS分值：9.8


? 影响版本


受影响的版本


VLC 3.0.2 to 3.0.7.1


? 误差概述


VideoLAN VLC media player是法国VideoLAN组织的一款免费、开源的跨平台多媒体播放器（也是一个多媒体框架）。该产品支持播放多种介质（文件、光盘等）、多种音视频名堂（WMV,MP3等）等。


VLC宣布新版本修复了13个清静误差：CVE-2019-13602，CVE-2019-13962，CVE-2019-14437，CVE-2019-14438，CVE-2019-14498，CVE-2019-14535，CVE-2019-14534，CVE-2019-14533，CVE-2019-14776，CVE-2019-14778，CVE-2019-14779，CVE-2019-14777，CVE-2019-14970。其中CVE-2019-13602和CVE-2019-13962分数划分为8.8和9.8，概述如下：


CVE-2019-13602

VideoLAN VLC media player中的modules/demux/mp4/mp4.c文件的‘MP4_EIA608_Convert()’函数保存数字过失误差。该误差源于网络系统或产品未准确盘算或转换所爆发的数字。攻击者可使用该误差导致整数溢出或符号过失等。


CVE-2019-13962

VideoLAN VLC media player中的modules/codec/avcodec/video.c文件的lavc_CopyPicture保存缓冲区过失误差。该误差源于网络系统或产品在内存上执行操作时，未准确验证数据界线，导致向关联的其他内存位置上执行了过失的读写操作。攻击者可使用该误差导致缓冲区溢出或堆溢出等。


? 误差验证


暂无POC/EXP。


? 修复建议


现在厂商已宣布3.0.8版本以修复误差，下载链接：https://www.videolan.org/vlc/#download。


? 参考链接


https://www.videolan.org/security/sb-vlc308.html