CVE-2019-19721

VLC media player przed wersją 3.0.24 zawiera podatność na przechodzenie poza katalog (path traversal) w ładowarce motywów skins2, która nie waliduje nazw członków w archiwach motywów .vlt. Atakujący mogą tworzyć złośliwe pliki motywów z sekwencjami przechodzenia poza katalog, aby zapisywać dowolne pliki z uprawnieniami użytkownika VLC, co umożliwia wykonanie kodu poprzez wstrzyknięcie skryptów Lua.

Funkcja lavc_CopyPicture w modules/codec/avcodec/video.c w VideoLAN VLC media player do wersji 3.0.7 ma przepełnienie bufora na stercie (heap-based buffer over-read), ponieważ nie waliduje poprawnie szerokości i wysokości.

Niektóre kompilacje odtwarzacza VLC w wersjach 3.0.0–3.0.23 zawierają podatność związaną z bezpieczeństwem pamięci, osiągalną podczas przetwarzania mediów z kontrolowanego przez atakującego źródła sieciowego. Wykorzystanie wymaga interakcji użytkownika i może ujawnić ograniczoną, zależną od układu pamięci ilość danych z procesu VLC. Ekspozycja zależy od konfiguracji kompilacji.

VLC media player w wersjach od 3.0.0 do 3.0.23 zawiera podatność typu memory-safety, którą można wykorzystać podczas przetwarzania spreparowanych plików multimedialnych. Eksploatacja wymaga interakcji użytkownika i może doprowadzić do zakończenia działania aplikacji lub wykonania kodu z uprawnieniami procesu VLC.

W VLC media player 3.0.11 odkryto podatność w funkcji EbmlTypeDispatcher::send, która umożliwia atakującym wywołanie przepełnienia bufora sterty poprzez specjalnie spreparowany plik .mkv.

Podatność typu integer underflow w VLC Media Player w wersjach < 3.0.7 prowadzi do odczytu poza zakresem.

Niedomiar liczby całkowitej w funkcji MP4_EIA608_Convert() w modules/demux/mp4/mp4.c w VideoLAN VLC media player do wersji 3.0.7.1. Zdalny atakujący może spowodować odmowę usługi (przepełnienie bufora na stercie i awarię) lub potencjalnie inny niezdefiniowany wpływ poprzez spreparowany plik .mp4.