ອັບເດດເຄື່ອງຫຼິ້ນສື່ VLC 3.0.8 ພ້ອມແກ້ໄຂຊ່ອງໂຫວ່ແລ້ວ

ແນະນຳ ການ​ແກ້​ໄຂ​ການ​ປ່ອຍ​ຜູ້ນ​ສື່​ມວນ​ຊົນ​ VLC 3.0.8, ໃນທີ່ສະສົມ ຄວາມຜິດພາດ ແລະລົບລ້າງ 13 ຈຸດອ່ອນລວມທັງສາມບັນຫາ (CVE-2019-14970, CVE-2019-14777, CVE-2019-14533) ອາດຈະນໍາພາ ເພື່ອປະຕິບັດລະຫັດຂອງຜູ້ໂຈມຕີໃນເວລາທີ່ພະຍາຍາມຫຼິ້ນໄຟລ໌ມັນຕິມີເດຍທີ່ອອກແບບມາໂດຍສະເພາະໃນຮູບແບບ MKV ແລະ ASF (ຂຽນ buffer overflow ແລະສອງບັນຫາໃນການເຂົ້າເຖິງຫນ່ວຍຄວາມຈໍາຫຼັງຈາກທີ່ມັນຖືກປົດປ່ອຍ).

ສີ່ຊ່ອງໂຫວ່ໃນຕົວຈັດການຮູບແບບ OGG, AV1, FAAD, ASF ແມ່ນເກີດມາຈາກຄວາມສາມາດໃນການອ່ານຂໍ້ມູນຈາກພື້ນທີ່ຫນ່ວຍຄວາມຈໍາພາຍນອກ buffer ທີ່ຖືກຈັດສັນ. ສາມບັນຫານໍາໄປສູ່ການ dereferences ຕົວຊີ້ NULL ໃນ dvdnav, ASF ແລະ AVI unpackers ຮູບແບບ. ຊ່ອງໂຫວ່ອັນໜຶ່ງອະນຸຍາດໃຫ້ມີການລົ້ນຈຳນວນເຕັມໃນຕົວ decompressor MP4.

ມີບັນຫາກັບຕົວຫຸ້ມຫໍ່ຮູບແບບ OGG (CVE-2019-14438) ໝາຍ ໂດຍນັກພັດທະນາ VLC ເປັນການອ່ານຈາກພື້ນທີ່ນອກ buffer (read buffer overflow), ແຕ່ນັກຄົ້ນຄວ້າຄວາມປອດໄພໄດ້ກໍານົດຈຸດອ່ອນ. ການຮຽກຮ້ອງ, ຊຶ່ງສາມາດເຮັດໃຫ້ເກີດການຂຽນເກີນແລະເຮັດໃຫ້ເກີດການປະຕິບັດລະຫັດໃນເວລາທີ່ປະມວນຜົນໄຟລ໌ OGG, OGM ແລະ OPUS ທີ່ມີບລັອກ header ອອກແບບພິເສດ.

ນອກຈາກນີ້ຍັງມີຊ່ອງໂຫວ່ (CVE-2019-14533) ໃນ unpacker ຮູບແບບ ASF, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດຂຽນຂໍ້ມູນໃສ່ພື້ນທີ່ຫນ່ວຍຄວາມຈໍາທີ່ຖືກປົດປ່ອຍແລ້ວແລະບັນລຸການປະຕິບັດລະຫັດໃນເວລາທີ່ປະຕິບັດການເລື່ອນໄປຂ້າງຫນ້າຫຼືກັບຄືນໄປບ່ອນຢູ່ໃນເສັ້ນເວລາໃນລະຫວ່າງການຫຼິ້ນ WMV ແລະ ໄຟລ໌ WMA. ນອກຈາກນັ້ນ, ບັນຫາ CVE-2019-13602 ( integer overflow) ແລະ CVE-2019-13962 (ການອ່ານຈາກພື້ນທີ່ນອກ buffer) ໄດ້ຖືກມອບຫມາຍໃນລະດັບອັນຕະລາຍ (8.8 ແລະ 9.8), ແຕ່ຜູ້ພັດທະນາ VLC ບໍ່ເຫັນດີແລະ ພິຈາລະນາຄວາມອ່ອນແອເຫຼົ່ານີ້ບໍ່ເປັນອັນຕະລາຍ (ພວກເຂົາສະເຫນີໃຫ້ປ່ຽນລະດັບເປັນ 4.3).

ການແກ້ໄຂທີ່ບໍ່ແມ່ນຄວາມປອດໄພລວມມີການແກ້ໄຂການເວົ້າສະດຸດໃນເວລາເບິ່ງວິດີໂອໃນອັດຕາເຟຣມຕ່ໍາ, ປັບປຸງການສະຫນັບສະຫນູນການຖ່າຍທອດແບບປັບຕົວ (ປັບປຸງລະຫັດ buffering), ແກ້ໄຂບັນຫາກັບການສະແດງຄໍາບັນຍາຍ WebVTT, ປັບປຸງສຽງອອກໃນເວທີ macOS ແລະ iOS, ປັບປຸງສະຄິບສໍາລັບການດາວໂຫຼດຈາກ Youtube, ການແກ້ໄຂບັນຫາດ້ວຍການເປີດໃຊ້ Direct3D11 ເພື່ອໃຊ້ການເລັ່ງຮາດແວໃນລະບົບທີ່ມີບາງໄດເວີ AMD.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru