Actualització del reproductor multimèdia VLC 3.0.8 amb vulnerabilitats solucionades

Presentat llançament correctiu del reproductor multimèdia VLC 3.0.8, en què l'acumulat errors i eliminat 13 vulnerabilitats, inclosos tres problemes (CVE-2019-14970, CVE-2019-14777, CVE-2019-14533) pot dirigir a l'execució del codi d'un atacant quan s'intenta reproduir fitxers multimèdia dissenyats especialment en formats MKV i ASF (desbordament de memòria intermèdia d'escriptura i dos problemes per accedir a la memòria després d'alliberar-la).

Quatre vulnerabilitats dels gestors de formats OGG, AV1, FAAD i ASF són causades per la capacitat de llegir dades de les àrees de memòria fora del buffer assignat. Tres problemes porten a desreferències de punter NULL als desempaquetats de format dvdnav, ASF i AVI. Una vulnerabilitat permet un desbordament de nombres enters al descompressor MP4.

Problema amb el desempaquetat de format OGG (CVE-2019-14438) marcat pels desenvolupadors de VLC com a lectura d'una àrea fora de la memòria intermèdia (desbordament de la memòria intermèdia de lectura), però els investigadors de seguretat van identificar la vulnerabilitat reclamació, que pot provocar un desbordament d'escriptura i provocar l'execució de codi quan es processen fitxers OGG, OGM i OPUS amb un bloc de capçalera especialment dissenyat.

També hi ha una vulnerabilitat (CVE-2019-14533) al desempaquetat de format ASF, que permet escriure dades a una àrea de memòria ja alliberada i aconseguir l'execució de codi quan es realitza una operació de desplaçament cap endavant o cap enrere a la línia de temps durant la reproducció de WMV i Arxius WMA. A més, als problemes CVE-2019-13602 (desbordament d'enters) i CVE-2019-13962 (lectura des d'una àrea fora del buffer) se'ls assigna un nivell crític de perill (8.8 i 9.8), però els desenvolupadors de VLC no hi estan d'acord i consideren que aquestes vulnerabilitats no són perilloses (proposen canviar el nivell a 4.3).

Les correccions no relacionades amb la seguretat inclouen la correcció de la tartamudesa quan es veuen vídeos a velocitats de fotogrames baixes, la millora del suport per a la transmissió adaptativa (codi de memòria intermèdia millorada), la resolució de problemes amb la representació de subtítols WebVTT, la millora de la sortida d'àudio a les plataformes macOS i iOS, l'actualització de l'script per a la baixada de Youtube , Resolució de problemes amb l'habilitació de Direct3D11 per aplicar l'acceleració de maquinari en sistemes amb alguns controladors AMD.

Font: opennet.ru