Several security vulnerabilities have been discovered in mpg123, an MPEG layer 1/2/3 audio decoder and player. An attacker could take advantage of these flaws to cause a denial of service against mpg123 or applications using the libmpg123 library with a carefully crafted input file.

CVE-2014-9497

Myautsai PAN discovered a flaw in the decoder initialization code of libmpg123. A specially crafted mp3 input file can be used to cause a buffer overflow, resulting in a denial of service.

CVE-2016-1000247

Jerold Hoong discovered a flaw in the id3 tag processing code of libmpg123. A specially crafted mp3 input file could be used to cause a buffer over-read, resulting in a denial of service.

For Debian 7 'Wheezy', these problems have been fixed in version 1.14.4-1+deb7u1.

We recommend that you upgrade your mpg123 packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote host is affected by the vulnerability described in GLSA-201502-01 (mpg123: User-assisted execution of arbitrary code)

    An issue has been found in mpg123 when decoding specifically crafted MP3       file, that causes a heap-based buffer overflow.
  Impact :

    A remote attacker could entice a user to open a specially crafted MPEG       file using mpg123, possibly resulting in execution of arbitrary code with       the privileges of the process or a Denial of Service condition.
  Workaround :

    There is no known workaround at this time.

MPEG Layer 1/2/3 オーディオデコーダーおよびプレーヤーである mpg123 にいくつかのセキュリティ上の脆弱性が発見されました。攻撃者がこれらの欠陥を利用し、巧みに細工された入力ファイルを使用して mpg123 に対してまたは libmpg123 ライブラリを使用するアプリケーションに対して、サービス拒否を引き起こす可能性があります。CVE-2014-9497 : Myautsai PAN 氏が、libmpg123 のデコーダー初期化コードに欠陥を発見しました。特別に細工された mp3 入力ファイルがバッファオーバーフローを引き起こし、サービス拒否を引き起こす可能性があります。CVE-2016-1000247 : Jerold Hoong 氏が、libmpg123 の id3 タグ処理コードに欠陥を発見しました。特別に細工された mp3 入力ファイルがバッファオーバーリードを引き起こし、サービス拒否を引き起こす可能性があります。Debian 7 'Wheezy' では、これらの問題はバージョン 1.14.4-1+deb7u1 で修正されています。mpg123 パッケージをアップグレードすることを推奨します。注 : Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストが GLSA-201502-01 で説明されている脆弱性（mpg123：ユーザーの支援を受けた任意のコードの実行）の影響を受けます

特別に細工された MP3 ファイルをデコードする場合の mpg123 に問題が見つかりました。これにより、ヒープベースのバッファオーバーフローが発生します。
 影響：

リモートの攻撃者がユーザーを誘導し、mpg123 を使用して特別に細工された MPEG ファイルを開かせて、プロセスの権限で任意のコードを実行したり、サービス拒否状態にさせたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

在 mpg123（MPEG 第 1/2/3 层音频解码器和播放器）中发现多个安全漏洞。攻击者可利用这些缺陷，使用包含特别构建的输入文件的 libmpg123 库， 对 mpg123 或应用程序造成拒绝服务。

CVE-2014-9497

Myautsai PAN 在 libmpg123 的解码器初始化代码中发现一个缺陷。攻击者可利用特别构建的 mp3 输入文件造成缓冲区溢出，从而导致拒绝服务。

CVE-2016-1000247

Jerold Hoong 在处理 libmpg123 的代码的 id3 标签中发现一个缺陷。攻击者可利用特别构建的 mp3 输入文件造成缓冲区过度读取，从而导致拒绝服务。

对于 Debian 7“Wheezy”，这些问题已在版本 1.14.4-1+deb7u1 中修复。

我们建议您升级 mpg123 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

遠端主機受到 GLSA-201502-01 中所述的弱點影響 (mpg123：使用者協助的任意程式碼執行)

    解碼特製 MP3 檔案時，在 mpg123 中發現一個可造成堆積型緩衝區溢位的問題。
  影響：

    遠端攻擊者可引誘使用者開啟使用 mpg123 的特製 MPEG 檔案，可能藉此以處理程序的權限來執行任意程式碼，或導致拒絕服務情形。
  因應措施：

    目前尚無已知的因應措施。

在 mpg123 (MPEG 第 1/2/3 層音訊解碼器和播放器) 中發現數個安全性弱點。攻擊者可利用這些缺陷，透過精心建構的輸入檔案，對 mpg123 或使用 libmpg123 程式庫的應用程式造成拒絕服務。

CVE-2014-9497

Myautsai PAN 發現 libmpg123 的解碼器初始化程式碼中存在一個缺陷。可使用特別建構的 mp3 輸入檔案造成緩衝區溢位，進而導致拒絕服務。

CVE-2016-1000247

Jerold Hoong 發現 libmpg123 的 id3 標籤處理程式碼中存在一個缺陷。可使用特別建構的 mp3 輸入檔案造成緩衝區過度讀取，進而導致拒絕服務。

針對 Debian 7「Wheezy」，已在 1.14.4-1+deb7u1 版本中修正這些問題。

建議您升級 mpg123 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

远程主机受到 GLSA-201502-01 中所述漏洞的影响（mpg123：受用户协助的任意代码执行）

    解码特别构建的 MP3 文件时，在 mpg123 中发现了一个问题，可导致基于堆的缓冲区溢出。
  影响：

    远程攻击者可引诱用户使用 mpg123 打开特别构建的 MPEG 文件，这可能导致以进程权限执行任意代码或拒绝服务情况。
  变通方案：

    目前无任何已知的变通方案。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
94100	Debian DLA-655-1 : mpg123 security update	Nessus	Debian Local Security Checks	2016/10/18	2021/1/11	high
81224	GLSA-201502-01 : mpg123: User-assisted execution of arbitrary code	Nessus	Gentoo Local Security Checks	2015/2/9	2021/1/11	high
94100	Debian DLA-650-1 : mpg123 セキュリティ更新	Nessus	Debian Local Security Checks	2016/10/18	2021/1/11	high
81224	GLSA-201502-01：mpg123：ユーザー支援による任意のコードの実行	Nessus	Gentoo Local Security Checks	2015/2/9	2021/1/11	high
94100	Debian DLA-655-1：mpg123 安全更新	Nessus	Debian Local Security Checks	2016/10/18	2021/1/11	high
81224	GLSA-201502-01：mpg123：使用者協助的任意程式碼執行	Nessus	Gentoo Local Security Checks	2015/2/9	2021/1/11	high
94100	Debian DLA-655-1：mpg123 安全性更新	Nessus	Debian Local Security Checks	2016/10/18	2021/1/11	high
81224	GLSA-201502-01 : mpg123: 受用户协助的任意代码执行	Nessus	Gentoo Local Security Checks	2015/2/9	2021/1/11	high

検出

プラグインの検索

high

high

high

high

high

high

high

high