CVE-2020-26664

VLC media player kopiuje linię odpowiedzi RTSP do stałego bufora bez gwarancji zakończenia, a następnie traktuje ten bufor jako ciąg C. Funkcja RtspReadLine w modules/access/rtsp/access.c wywołuje strncpy z pełną długością bufora, co nie zapisuje terminatora, gdy źródło jest co najmniej tak długie jak cel, a rtsp_get w modules/access/rtsp/rtsp.c przydziela bufor o rozmiarze BUF_SIZE i przekazuje go do strdup. Gdy serwer zwróci linię o długości 4096 bajtów lub więcej, strdup mierzy jej długość poza przydziałem i kopiuje sąsiednie bajty sterty aż do przypadkowego zera. Ponieważ dotknięta linia to nagłówek Session, ujawnione bajty są zachowywane jako identyfikator sesji i wysyłane z powrotem do serwera przy każdym kolejnym żądaniu, więc operator wrogiego serwera odczytuje pamięć sterty klienta. Atakujący kontroluje długość linii i tym samym zasięg odczytu. Pojedynczy wpis playlisty wskazujący na adres realrtp jest wystarczający. Moduł jest opcją kompilacji, wyłączoną w niektórych pakietach dystrybucyjnych, a włączoną w oficjalnych kompilacjach VideoLAN.

VLC media player oblicza rozmiar bufora obrazu w arytmetyce 32-bitowej i alokuje na podstawie zawiniętego wyniku. W AllocatePicture w src/misc/picture.c suma i_bytes += p->i_pitch * p->i_lines jest licznona na 32 bitach i zawija się przed rozszerzeniem do size_t. Sprawdzenie przepełnienia dzieli w 64 bitach i nie ogranicza iloczynu, a porównanie z PICTURE_SW_SIZE_MAX bada już zawiniętą wartość, więc obie osłony przechodzą. aligned_alloc rezerwuje mały zawinięty rozmiar, podczas gdy dekoder zapisuje linie o rozmiarze wynikającym z oryginalnych wymiarów. Spreparowany plik PNG z dużymi wymiarami w IHDR osiąga tę ścieżkę przez demuxer obrazów, którego jedynym ograniczeniem jest liczba bajtów pliku wejściowego, a dekoder w modules/codec/png.c zapisuje poza alokacją z treścią i długością kontrolowaną przez atakującego. Wystarczy otworzyć plik bezpośrednio lub przez playlistę, bez niestandardowych ustawień.