Ажурирање на медиа плеер VLC 3.0.8 со поправени пропусти

Воведени корективно ослободување на медиа плеер VLC 3.0.8, во која акумулираните Грешки и елиминирани 13 ранливости, вклучувајќи три проблеми (CVE-2019-14970, CVE-2019-14777, CVE-2019-14533) може да доведе за извршување на кодот на напаѓачот кога се обидувате да репродуцирате специјално дизајнирани мултимедијални датотеки во формати MKV и ASF (напишете прелевање на баферот и два проблеми со пристап до меморијата откако ќе се ослободи).

Четири пропусти во ракувачите со формати OGG, AV1, FAAD, ASF се предизвикани од можноста за читање податоци од мемориските области надвор од доделениот бафер. Три проблеми доведуваат до дереференции на покажувачот NULL во отпакувачите на формат dvdnav, ASF и AVI. Една ранливост овозможува прелевање на цел број во декомпресорот MP4.

Проблем со отпакувач на формат OGG (CVE-2019-14438) обележан од страна на развивачите на VLC како читање од област надвор од тампонот (прелевање на баферот за читање), но безбедносните истражувачи ја идентификуваа ранливоста тврдат, што може да предизвика прелевање на записи и да предизвика извршување на кодот при обработка на датотеките OGG, OGM и OPUS со специјално дизајниран блок за заглавие.

Исто така, постои ранливост (CVE-2019-14533) во отпакувачот на формат ASF, кој ви овозможува да запишете податоци во веќе ослободена мемориска област и да постигнете извршување на кодот кога вршите операција на лизгање напред или назад на временската линија за време на репродукција на WMV и WMA датотеки. Покрај тоа, на проблемите CVE-2019-13602 (прелевање на цел број) и CVE-2019-13962 (читање од област надвор од тампон) им е доделено критично ниво на опасност (8.8 и 9.8), но програмерите на VLC не се согласуваат и сметаат дека овие пропусти не се опасни (тие предлагаат промена на нивото на 4.3).

Небезбедните поправки вклучуваат поправање на пелтечење при гледање видеа со ниски стапки на слики, подобрување на поддршката за приспособливо стриминг (подобрена шифра за тампонирање), решавање проблеми со прикажување на преводи на WebVTT, подобрување на аудио излезот на платформите macOS и iOS, ажурирање на скриптата за преземање од YouTube . Решавање на проблеми со овозможување Direct3D11 да применува хардверско забрзување на системи со некои AMD драјвери.

Извор: opennet.ru