VLC播放器多个误差清静通告

宣布时间 2019-08-21

? 误差编号和级别


CVE编号：CVE-2019-13602 ，危险级别：高危 ，CVSS分值：8.8
CVE编号：CVE-2019-13962 ，危险级别：严重 ，CVSS分值：9.8


? 影响版本


受影响的版本


VLC 3.0.2 to 3.0.7.1


? 误差概述


VideoLAN VLC media player是法国VideoLAN组织的一款免费、开源的跨平台多媒体播放器（也是一个多媒体框架）。该产品支持播放多种介质（文件、光盘等）、多种音视频名堂（WMV,MP3等）等。


VLC宣布新版本修复了13个清静误差：CVE-2019-13602 ，CVE-2019-13962 ，CVE-2019-14437 ，CVE-2019-14438 ，CVE-2019-14498 ，CVE-2019-14535 ，CVE-2019-14534 ，CVE-2019-14533 ，CVE-2019-14776 ，CVE-2019-14778 ，CVE-2019-14779 ，CVE-2019-14777 ，CVE-2019-14970。其中CVE-2019-13602和CVE-2019-13962分数划分为8.8和9.8 ，概述如下：


CVE-2019-13602

VideoLAN VLC media player中的modules/demux/mp4/mp4.c文件的‘MP4_EIA608_Convert()’函数保存数字过失误差。该误差源于网络系统或产品未准确盘算或转换所爆发的数字。攻击者可使用该误差导致整数溢出或符号过失等。


CVE-2019-13962

VideoLAN VLC media player中的modules/codec/avcodec/video.c文件的lavc_CopyPicture保存缓冲区过失误差。该误差源于网络系统或产品在内存上执行操作时 ，未准确验证数据界线 ，导致向关联的其他内存位置上执行了过失的读写操作。攻击者可使用该误差导致缓冲区溢出或堆溢出等。


? 误差验证


暂无POC/EXP。


? 修复建议


现在厂商已宣布3.0.8版本以修复误差 ，下载链接：https://www.videolan.org/vlc/#download。


? 参考链接


https://www.videolan.org/security/sb-vlc308.html