VLC播放器多个误差清静通告

宣布时间 2019-08-21

? 误差编号和级别


CVE编号：CVE-2019-13602，，，，，危险级别：高危，，，，，CVSS分值：8.8
CVE编号：CVE-2019-13962，，，，，危险级别：严重，，，，，CVSS分值：9.8


? 影响版本


受影响的版本


VLC 3.0.2 to 3.0.7.1


? 误差概述


VideoLAN VLC media player是法国VideoLAN组织的一款免费、开源的跨平台多媒体播放器（也是一个多媒体框架）。。。。。。。该产品支持播放多种介质（文件、光盘等）、多种音视频名堂（WMV,MP3等）等。。。。。。。


VLC宣布新版本修复了13个清静误差：CVE-2019-13602，，，，，CVE-2019-13962，，，，，CVE-2019-14437，，，，，CVE-2019-14438，，，，，CVE-2019-14498，，，，，CVE-2019-14535，，，，，CVE-2019-14534，，，，，CVE-2019-14533，，，，，CVE-2019-14776，，，，，CVE-2019-14778，，，，，CVE-2019-14779，，，，，CVE-2019-14777，，，，，CVE-2019-14970。。。。。。。其中CVE-2019-13602和CVE-2019-13962分数划分为8.8和9.8，，，，，概述如下：


CVE-2019-13602

VideoLAN VLC media player中的modules/demux/mp4/mp4.c文件的‘MP4_EIA608_Convert()’函数保存数字过失误差。。。。。。。该误差源于网络系统或产品未准确盘算或转换所爆发的数字。。。。。。。攻击者可使用该误差导致整数溢出或符号过失等。。。。。。。


CVE-2019-13962

VideoLAN VLC media player中的modules/codec/avcodec/video.c文件的lavc_CopyPicture保存缓冲区过失误差。。。。。。。该误差源于网络系统或产品在内存上执行操作时，，，，，未准确验证数据界线，，，，，导致向关联的其他内存位置上执行了过失的读写操作。。。。。。。攻击者可使用该误差导致缓冲区溢出或堆溢出等。。。。。。。


? 误差验证


暂无POC/EXP。。。。。。。


? 修复建议


现在厂商已宣布3.0.8版本以修复误差，，，，，下载链接：https://www.videolan.org/vlc/#download。。。。。。。


? 参考链接


https://www.videolan.org/security/sb-vlc308.html