VLC播放器多个缝隙安全公告

颁布功夫 2019-08-21

? 缝隙编号和级别


CVE编号：CVE-2019-13602，危险级别：高危，CVSS分值：8.8
CVE编号：CVE-2019-13962，危险级别：严沉，CVSS分值：9.8


? 影响版本


受影响的版本


VLC 3.0.2 to 3.0.7.1


? 缝隙概述


VideoLAN VLC media player是法国VideoLAN组织的一款免费、开源的跨平台多媒体播放器（也是一个多媒体框架） 。该产品支持播放多种介质（文件、光盘等）、多种音视频体式（WMV,MP3等）等 。


VLC颁布新版本建复了13个安全缝隙：CVE-2019-13602，CVE-2019-13962，CVE-2019-14437，CVE-2019-14438，CVE-2019-14498，CVE-2019-14535，CVE-2019-14534，CVE-2019-14533，CVE-2019-14776，CVE-2019-14778，CVE-2019-14779，CVE-2019-14777，CVE-2019-14970 。其中CVE-2019-13602和CVE-2019-13962分数别离为8.8和9.8，概述如下：


CVE-2019-13602

VideoLAN VLC media player中的modules/demux/mp4/mp4.c文件的‘MP4_EIA608_Convert()’函数存在数字谬误缝隙 。该缝隙源于网络系统或产品未正确推算或转换所产生的数字 。攻击者可利用该缝隙导致整数溢出或符号谬误等 。


CVE-2019-13962

VideoLAN VLC media player中的modules/codec/avcodec/video.c文件的lavc_CopyPicture存在缓冲区谬误缝隙 。该缝隙源于网络系统或产品在内存上执行操作时，未正确验证数据天堑，导致向关联的其他内存地位上执行了谬误的读写操作 。攻击者可利用该缝隙导致缓冲区溢出或堆溢出等 。


? 缝隙验证


暂无POC/EXP 。


? 建复建议


目前厂商已颁布3.0.8版本以建复缝隙，下载链接：https://www.videolan.org/vlc/#download 。


? 参考链接


https://www.videolan.org/security/sb-vlc308.html