VLC播放器多个缝隙安全公告

颁布功夫 2019-08-21

? 缝隙编号和级别


CVE编号：CVE-2019-13602，，，， ，危险级别：高危，，，， ，CVSS分值：8.8
CVE编号：CVE-2019-13962，，，， ，危险级别：严沉，，，， ，CVSS分值：9.8


? 影响版本


受影响的版本


VLC 3.0.2 to 3.0.7.1


? 缝隙概述


VideoLAN VLC media player是法国VideoLAN组织的一款免费、开源的跨平台多媒体播放器（也是一个多媒体框架）。。。。。该产品支持播放多种介质（文件、光盘等）、多种音视频体式（WMV,MP3等）等。。。。。


VLC颁布新版本建复了13个安全缝隙：CVE-2019-13602，，，， ，CVE-2019-13962，，，， ，CVE-2019-14437，，，， ，CVE-2019-14438，，，， ，CVE-2019-14498，，，， ，CVE-2019-14535，，，， ，CVE-2019-14534，，，， ，CVE-2019-14533，，，， ，CVE-2019-14776，，，， ，CVE-2019-14778，，，， ，CVE-2019-14779，，，， ，CVE-2019-14777，，，， ，CVE-2019-14970。。。。。其中CVE-2019-13602和CVE-2019-13962分数别离为8.8和9.8，，，， ，概述如下：


CVE-2019-13602

VideoLAN VLC media player中的modules/demux/mp4/mp4.c文件的‘MP4_EIA608_Convert()’函数存在数字谬误缝隙。。。。。该缝隙源于网络系统或产品未正确推算或转换所产生的数字。。。。。攻击者可利用该缝隙导致整数溢出或符号谬误等。。。。。


CVE-2019-13962

VideoLAN VLC media player中的modules/codec/avcodec/video.c文件的lavc_CopyPicture存在缓冲区谬误缝隙。。。。。该缝隙源于网络系统或产品在内存上执行操作时，，，， ，未正确验证数据天堑，，，， ，导致向关联的其他内存地位上执行了谬误的读写操作。。。。。攻击者可利用该缝隙导致缓冲区溢出或堆溢出等。。。。。


? 缝隙验证


暂无POC/EXP。。。。。


? 建复建议


目前厂商已颁布3.0.8版本以建复缝隙，，，， ，下载链接：https://www.videolan.org/vlc/#download。。。。。


? 参考链接


https://www.videolan.org/security/sb-vlc308.html