手机版
你好,游客 登录 注册 搜索
背景:
阅读新闻

VLC,其他媒体播放器使用的库中修补了代码执行漏洞

可以远程利用基于堆栈的缓冲区溢出

[日期:2018-10-19] 来源:Linux公社  作者:醉落红尘 [字体: ]

Live Networks Inc修补了一个代码执行漏洞,该漏洞影响了思科Talos Intelligence Group的Lilith Wyatt公开的LIVE555流媒体库的HTTP数据包解析功能。

LIVE555 RTSP服务器库由VLC和MPlayer等媒体播放器以及许多嵌入式设备使用。此外,多媒体流库用于开发客户端和服务器RTSP/RTCP/RTSP/SIP实现。

此外,开发人员可利用开源LIVE555流媒体C++库创建能够通过RTP/TCP和RTSP传输内容的应用程序,以及用于播放H.264,H.265,MPEG,VP8和DV的RTP视频内容格式和MPEG,AAC,AMR,AC-3和Vorbis音频格式。

“LIVE555 RTSP服务器库的HTTP数据包解析功能中存在可利用的代码执行漏洞,”思科Talos的咨询报告称。 “特制的数据包可能导致基于堆栈的缓冲区溢出,导致代码执行。攻击者可以发送数据包来触发此漏洞。”

VLC和MPlayer是受CVE-2018-4013代码执行漏洞影响的一些应用程序

安全漏洞可被攻击者利用,该攻击者使用多个 "Accept:" 或 "x-sessioncookie"字符串发送数据包,这些字符串旨在触发lookForHeader函数中的缓冲区溢出,该函数解析HTTP标头以通过HTTP隧道传输RTSP。

“LIVE555为其标准RTSP服务器启用的功能之一是能够通过HTTP隧道传输RTSP,该服务由服务器绑定的不同端口提供服务,通常为TCP 80,8000或8080,具体取决于主机可用的端口。“咨询报告中也提到这个。

如Cisco Talos的TALOS-2018-0684咨询中所述,收到CVE-2018-4013标识号的基于堆栈的缓冲区溢出漏洞已于10月10日向供应商披露。

随后,Live Networks Inc于10月17日修补了安全问题,该漏洞在10月18日的一天后公开披露。

Linux公社的RSS地址https://www.linuxidc.com/rssFeed.aspx

本文永久更新链接地址https://www.linuxidc.com/Linux/2018-10/154903.htm

 

linux
相关资讯       VLC代码执行漏洞 
本文评论   查看全部评论 (0)
表情: 表情 姓名: 字数

       

评论声明
  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 本站管理人员有权保留或删除其管辖留言中的任意内容
  • 本站有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款