VLC播放器多个误差清静通告

宣布时间 2019-08-21

? 误差编号和级别


CVE编号：CVE-2019-13602，，，危险级别：高危，，，CVSS分值：8.8
CVE编号：CVE-2019-13962，，，危险级别：严重，，，CVSS分值：9.8


? 影响版本


受影响的版本


VLC 3.0.2 to 3.0.7.1


? 误差概述


VideoLAN VLC media player是法国VideoLAN组织的一款免费、开源的跨平台多媒体播放器（也是一个多媒体框架）。。。该产品支持播放多种介质（文件、光盘等）、多种音视频名堂（WMV,MP3等）等。。。


VLC宣布新版本修复了13个清静误差：CVE-2019-13602，，，CVE-2019-13962，，，CVE-2019-14437，，，CVE-2019-14438，，，CVE-2019-14498，，，CVE-2019-14535，，，CVE-2019-14534，，，CVE-2019-14533，，，CVE-2019-14776，，，CVE-2019-14778，，，CVE-2019-14779，，，CVE-2019-14777，，，CVE-2019-14970。。。其中CVE-2019-13602和CVE-2019-13962分数划分为8.8和9.8，，，概述如下：


CVE-2019-13602

VideoLAN VLC media player中的modules/demux/mp4/mp4.c文件的‘MP4_EIA608_Convert()’函数保存数字过失误差。。。该误差源于网络系统或产品未准确盘算或转换所爆发的数字。。。攻击者可使用该误差导致整数溢出或符号过失等。。。


CVE-2019-13962

VideoLAN VLC media player中的modules/codec/avcodec/video.c文件的lavc_CopyPicture保存缓冲区过失误差。。。该误差源于网络系统或产品在内存上执行操作时，，，未准确验证数据界线，，，导致向关联的其他内存位置上执行了过失的读写操作。。。攻击者可使用该误差导致缓冲区溢出或堆溢出等。。。


? 误差验证


暂无POC/EXP。。。


? 修复建议


现在厂商已宣布3.0.8版本以修复误差，，，下载链接：https://www.videolan.org/vlc/#download。。。


? 参考链接


https://www.videolan.org/security/sb-vlc308.html