This update for lame fixes the following issues :

Lame was updated to version 3.100 :

  - Improved detection of MPEG audio data in RIFF WAVE     files. sf#3545112 Invalid sampling detection

  - New switch --gain <decibel>, range -20.0 to +12.0, a     more convenient way to apply Gain adjustment in     decibels, than the use of --scale <factor>.

  - Fix for sf#3558466 Bug in path handling

  - Fix for sf#3567844 problem with Tag genre

  - Fix for sf#3565659 no progress indication with pipe     input

  - Fix for sf#3544957 scale (empty) silent encode without     warning

  - Fix for sf#3580176 environment variable LAMEOPT doesn't     work anymore

  - Fix for sf#3608583 input file name displayed with wrong     character encoding (on windows console with CP_UTF8)

  - Fix dereference NULL and Buffer not NULL terminated     issues. (CVE-2017-15019 bsc#1082317 CVE-2017-13712     bsc#1082399 CVE-2015-9100 bsc#1082401)

  - Fix dereference of a NULL pointer possible in loop.

  - Make sure functions with SSE instructions maintain their     own properly aligned stack. Thanks to Fabian Greffrath

  - Multiple Stack and Heap Corruptions from Malicious File.
    (CVE-2017-9872 bsc#1082391 CVE-2017-9871 bsc#1082392     CVE-2017-9870 bsc#1082393 CVE-2017-9869 bsc#1082395     CVE-2017-9411 bsc#1082397 CVE-2015-9101 bsc#1082400)

  - CVE-2017-11720: Fix a division by zero vulnerability.
    (bsc#1082311)

  - CVE-2017-9410: Fix fill_buffer_resample function in     libmp3lame/util.c heap-based buffer over-read and ap     (bsc#1082333)

  - CVE-2017-9411: Fix fill_buffer_resample function in     libmp3lame/util.c invalid memory read and application     crash (bsc#1082397)

  - CVE-2017-9412: FIx unpack_read_samples function in     frontend/get_audio.c invalid memory read and application     crash (bsc#1082340)

  - Fix clip detect scale suggestion unaware of scale input     value

  - HIP decoder bug fixed: decoding mixed blocks of lower     sample frequency Layer3 data resulted in internal buffer     overflow.

  - Add lame_encode_buffer_interleaved_int()

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The III_i_stereo function in layer3.c in mpglib, as used in libmpgdecoder.a in LAME 3.99.5 and other     products, allows remote attackers to cause a denial of service (buffer over-read and application crash)     via a crafted audio file that is mishandled in the code for the block_type == 2 case, a similar issue to     CVE-2017-11126. (CVE-2017-9870)

Note that Nessus relies on the presence of the package as reported by the vendor.

このlameの更新では、以下の問題を修正します：

Lameはバージョン3.100に更新されました：

  - RIFF WAVEファイルのMPEGオーディオデータの検出が改善されました。sf#3545112 無効なサンプリングの検出

  - 新しいスイッチ--gain <decibel>、範囲 -20.0から12.0まで、--scale<factor>を使用するよりも便利な、decibelsでのGainの調整の適用方法。

  - パス処理のsf#3558466のバグを修正します

  - タグ分類のsf#3567844を修正します

  - パイプ入力でsf#3565659の進捗状況が表示されない問題を修正します

  - 警告のないsf#3544957のスケール（空）サイレントエンコードを修正します

  - sf#3580176環境変数LAMEOPTが動作しなくなる問題を修正します

  - sf#3608583入力ファイル名が間違った文字エンコーディングで表示される問題を修正します（CP_UTF8を使用してWindowsコンソールで）

  - 逆参照のNULLおよびバッファがNULLではないために終了する問題を修正します。（CVE-2017-15019 bsc#1082317 CVE-2017-13712 bsc#1082399 CVE-2015-9100 bsc#1082401）

  - loopでのNULLポインターのデリファレンスの可能性を修正します。

  - SSE命令を含む関数が、独自に適切に整列されたスタックを維持するようにします。Fabian Greffrath氏に感謝の意を表します

  - 悪意のあるファイルからの複数のスタックおよびヒープ破損。
    （CVE-2017-9872 bsc#1082391 CVE-2017-9871 bsc#1082392 CVE-2017-9870 bsc#1082393 CVE-2017-9869 bsc#1082395 CVE-2017-9411 bsc#1082397 CVE-2015-9101 bsc#1082400）

  - CVE-2017-11720：ゼロ除算の脆弱性を修正します。
    （bsc#1082311）

  - CVE-2017-9410：libmp3lame/util.cのヒープベースのバッファオーバーリードおよびapのfill_buffer_resample関数を修正します（bsc#1082333）

  - CVE-2017-9411：libmp3lame/util.cのfill_buffer_resample関数の無効なメモリ読み取り及びアプリケーションクラッシュを修正します（bsc#1082397）

  - CVE-2017-9412：frontend/get_audio.cのunpack_read_samples関数の無効なメモリ読み取りおよびアプリケーションをクラッシュを修正します（bsc#1082340）

  - スケール入力値を認識しない、クリップ検出スケールの提案を修正します

  - HIPデコーダーのバグが修正されました：サンプルの頻度が低いLayer3データの混合ブロックをデコードすると、内部バッファオーバーフローが発生しました。

  - lame_encode_buffer_interleaved_int()を追加します

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 LAME 3.99.5 及其他產品的 libmpgdecoder.a 所使用的 mpglib 中layer3.c 的 III_i_stereo 函式允許遠端攻擊者透過特製的音訊檔案 (在 block_type == 2 案例的程式碼中未正確處理與 CVE-2017-11126類似的問題。 (CVE-2017-9870)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 LAME 3.99.5 和其他产品的 libmpgdecoder.a 中使用的 mpglib 中layer3.c 中的III_i_stereo 函数允许远程攻击者通过在 中的构建音频文件造成拒绝服务缓冲区读取越界和应用程序崩溃。在 block_type == 2 情况的代码中错误处理此问题与 CVE-2017-11126类似。 (CVE-2017-9870)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - LAME 3.99.5 およびその他の製品の libmpgdecoder.a で使用される mpglib の layer3.c の II_i_stereo 関数により、リモートの攻撃者が、 block_type == 2 の場合のコードの処理を誤っていました。これは、 と同様の問題です CVE-2017-11126。CVE-2017-9870

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
107048	openSUSE Security Update : lame (openSUSE-2018-214)	Nessus	SuSE Local Security Checks	2018/2/28	2021/1/19	critical
254636	Linux Distros Unpatched Vulnerability : CVE-2017-9870	Nessus	Misc.	2025/8/25	2025/8/25	medium
107048	openSUSEセキュリティ更新プログラム：lame（openSUSE-2018-214）	Nessus	SuSE Local Security Checks	2018/2/28	2021/1/19	critical
254636	Linux Distros 未修補的弱點：CVE-2017-9870	Nessus	Misc.	2025/8/25	2025/8/25	medium
254636	Linux Distros 未修补的漏洞：CVE-2017-9870	Nessus	Misc.	2025/8/25	2025/8/25	medium
254636	Linux Distros のパッチ未適用の脆弱性: CVE-2017-9870	Nessus	Misc.	2025/8/25	2025/8/25	medium

検出

プラグインの検索

critical

medium

critical

medium

medium

medium