CVE-2017-8311
WysokieStreszczenie
Potencjalne przepełnienie bufora oparte na stercie w funkcji ParseJSS w VideoLAN VLC przed wersją 2.2.5, spowodowane pominięciem znaku NULL w ciągu wejściowym, umożliwia atakującym wykonanie dowolnego kodu za pomocą spreparowanego pliku z napisami.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zdalnego wykonania kodu, co może prowadzić do przejęcia kontroli nad systemem użytkownika. Organizacje powinny być świadome ryzyka związanego z odtwarzaniem niezweryfikowanych plików z napisami.
Rekomendacja
Zaleca się aktualizację VLC do wersji 2.2.5 lub nowszej oraz unikanie otwierania plików z napisami z nieznanych źródeł.
Inne podatności w VideoLAN VLC
Zobacz wszystkie- CVE-2023-47360Wysokie
Videolan VLC w wersjach przed 3.0.20 zawiera błąd podprzepełnienia całkowitego, który prowadzi do nieprawidłowej długości pakietu.
- CVE-2023-47359Krytyczne
Videolan VLC w wersjach przed 3.0.20 zawiera błędne odczyty przesunięcia, co prowadzi do przepełnienia bufora na stercie w funkcji GetPacket() i skutkuje uszkodzeniem pamięci.
Oryginalny opis (angielski, źródło NVD)
Potential heap based buffer overflow in ParseJSS in VideoLAN VLC before 2.2.5 due to skipping NULL terminator in an input string allows attackers to execute arbitrary code via a crafted subtitles file.