リモートホストは、GLSA-201805-05（mpv：リモートコード実行）で説明されている脆弱性に影響されています。VIDEO要素を含むHTMLドキュメントの処理に関する脆弱性がmpvで発見されました。さらにmpvは、player/lua/ytdl_hook.luaのプロトコルのホワイトリストなしで、src属性内の任意のURLを受け入れます。影響：リモートの攻撃者が、特別に細工されたWebサイトにアクセスするようにユーザーを誘導することで、任意のコードを実行する可能性があります。回避策：現時点では、既知の回避策はありません。

このmpvの更新では、以下の問題を修正します：

MPVはバージョン0.27.2に更新済みです

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2018-6360：mpvでは、VIDEO要素を含むHTMLドキュメントを読み取り、player/lua/ytdl_hook.luaのプロトコルホワイトリストがなくてもsrc属性の任意のURLを受け入れるため、リモートの攻撃者が細工されたWebサイトを使用して任意のコードを実行することが可能でした。たとえば、av：//lavfi：ladspa=file= URLを使うと、その製品は、任意のローカルパス名の共有オブジェクトファイルでdlopenを呼び出します。この問題が生じるのは、youtube-dlが安全でないURLを提供する可能性があることが考慮されていないためです。（boo#1077894）

修正および軽微な拡張機能：

  - ytdl_hook：字幕URLもホワイトリストに登録します（#5456）

MPVはバージョン0.27.1に更新済みです

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2018-6360：mpvでは、VIDEO要素を含むHTMLドキュメントを読み取り、player/lua/ytdl_hook.luaのプロトコルのホワイトリストがなくてもsrc属性の任意のURLを受け入れるため、リモートの攻撃者が細工されたWebサイトを使用して任意のコードを実行することが可能でしたたとえば、av：//lavfi：ladspa=file= URLを使うと、その製品は、任意のローカルパス名の共有オブジェクトファイルでdlopenを呼び出します。この問題が生じるのは、youtube-dlが安全でないURLを提供する可能性があることが考慮されていないためです。（boo#1077894）

修正および軽微な拡張機能：

  - ytdl_hook：youtube-dlから取り出したurlからのプロトコルをホワイトリストに登録します（#5456）

バージョン 0.27.0：

追加機能：

  - libmpv：オプション：オプションの更新を通知するスレッドセーフな方法を追加します

  - vd_lavc/vo_opengl：埋め込みICCプロファイルをサポートします

  - vo：将来の非GL動画出力用のAPI抽象化レンダリング

  - vo_opengl：全色域をハイライトする色域警告機能を追加します（--gamut-warning）

  - vo_opengl：ダイレクトレンダリングサポートを追加します（--vd-lavc-dr）

  - vo_opengl：（より高速な）計算シェーダーベースのEWAカーネルを実装します

  - vo_opengl：HLG OOTF逆行列を実装します

  - vo_opengl：HDRピーク検出をサポートします（--hdr-compute-peak）

  - vo_opengl：浮動入力ピクセル形式をサポートします

  - vo_opengl：カスタムユーザーテクスチャのロードをサポートします（#4586）

  - vo_opengl：ユーザー計算シェーダーの削除された機能をサポートします：

  - vo_direct3d、vo_sdl、vo_vaapi、およびvo_xvからビデオイコライザー処理を削除（GPL、レガシーVOをサポートする価値はありません）します。オプションとコマンドが追加されました：

  - player：--track-auto-selection オプションを追加します。オプションとコマンドが変更されました：

  - input：Qtと同じく、マウスボタンにニーモニック名を使用します：
    https://doc.qt.io/qt-5/qt.html#MouseButton-enum

  - options：--loopのセマンティクスを変更します

  - player：--lavfi-complexにしますランタイムで変更可能です

  - vf_eq：このフィルターを削除します（GPL。セマンティクスが変更され、libavfilterのeqフィルターを使用するようになります）

  - video：変更 --deinterlaceの動作

  - vo_opengl：HDRトーンマッピングを色域マッピングに一般化します

    --hdr-tone-mapping→ --tone-mappingオプションおよびコマンドが削除されました：

  - --field-dominance（GPLのみの著者、再ライセンスの可能性なし）

  - input：非推奨の「osd」コマンドをドロップします

  - options：--video-aspect-method=hybrid（GPLのみ）修正および軽微な拡張機能：

  - TOOLS/autocrop.lua：10ビットの動画に対するトリミング検出のブラックリミットを修正します

  - TOOLS/lua/autodeint：lavfi-bridgeへの更新

  - TOOLS/lua/status-line：改善および更新

  - af_lavrresample：必要な場合を除きswr_set_compensation()を呼び出すことはありません（#4716）

  - ao_oss：period_sizeの計算を修正します（#4642）

  - ao_rsound：ホストの設定を許可します

  - audio：spdifモードを修正します

  - filter_kernels：spline64カーネルを修正します

  - options：--include（#4673）を修正します

  - player：大きな値で--endを修正します（#4650）

  - player：オーディオ再同期コード内の混乱を修正します（#4688）

  - player：更新により堅牢度が若干高くなるようにします（#4757）

  - player：readd smiの字幕拡張（#4626）

  - vd_lavc：vdpau-copyよりもcudaを優先するように自動プローブの順序を変更します

  - vd_lavc：コピーモードのhwaccelsによるデバイス漏洩を修正します（#4735）

  - vd_lavc：hvdecのyuvj420pフォーマットとの互換性を修正します

  - vd_lavc：mid-stream hwdecフォールバックを修正します

  - vf_vapoursynth：反転符号を修正し、10ビットサポートを復元します（#4720）

  - video：--monitorpixelaspect範囲を拡大します

  - vo_opengl：線形化のためのルールを調整します（#4631）

  - vo_opengl：deband-grainを信号範囲に拡大します

  - vo_opengl：最大信号コンポーネントのトーンマップ

  - x11：埋め込みを使用する場合、ウィンドウのサイズが変更される可能性を修正します（#4784）

  - ytdl_hook：セグメントURLを結合する場合、相対パスを解決します（#4827）

  - ytdl_hook：相対パスでフラグメントをサポートし、セグメント化されたDASHを修正します

バージョン 0.26.0：

  - ビルトインV4L TVサポートはデフォルトで無効になっています。
    av：代わりに、//v4l2を使用できます。

  - Cプラグインのサポートが、デフォルトで有効になりました（#4491）。

  - これまでより多くのプレーヤーのパーツがLGPLでライセンス化されています。著作権ファイルを参照してください。

追加機能：

  - csputils：sony s-gamutを実装します

  - vo_opengl：新しいHDRトーンマッピングアルゴリズムを追加します（mobius、現在はデフォルト）

  - vo_opengl：hwdec_cuda：別個のデコードとディスプレイデバイスをサポートします

  - vo_opengl：sony s-log1およびs-log2 trcを実装します

  - vo_opengl：OOTFおよび非表示参照コンテンツのサポートを実装します

機能が削除されました：

  - vf_dlopen：このフィルターを削除します

オプションおよびコマンドが追加されました：

  - vo_opengl：--tone-mapping-desaturateを追加します

  - vo_opengl：「clip」に対してtone-mapping-paramをサポートします

  - ytdl_hook：URLを解析から除外するオプションを追加します

オプションおよびコマンドが変更されました：

  - libmpvを使用したプロファイルオプションの設定を許可します

  - audio：replaygain制御をトップレベルのオプションに移動します

  - external_files：--(sub,audio)-pathsの~を解析します

  - options：--sub-fix-timingのデフォルトをnoに変更します（#4484）

  - options：--sub-fileオプションの文字列リストアクションが漏洩します

  - options：--sub-ass-style-overrideのわずかなクリーンアップ 

  + signfs → スケール

  + --sub-ass-style-override→ --sub-ass-override

  - HDR TRCの「st2084」および「std-b67」の名前がそれぞれ「pq」および「hlg」に変更されました

  - vf_formatの「peak」サブオプションを「sig-peak」に置換します。これは、cd/m^2単位の代わりにリファレンス白レベルに関連しています

  - 以下のオプションは、append-by-default（および場合によってはセパレータ）に変更されます： --script

  - video：--video-aspect-methodデフォルト値を「コンテナ」に変更します

オプションおよびコマンドを非推奨にします：

  - m_option：-addなどに対して複数の項目を非推奨にします

  - player：「osd」コマンドを非推奨にします

  - --audio-file-paths => --audio-file-path

  - --sub-paths => --sub-file-path

  - --opengl-shaders => --opengl-shader

  - --sub-paths => --sub-file-paths

  - API経由の設定では、以下のオプションが非推奨になりました：

  +「script」（「scripts」を使用します）

  +「sub-file」（「sub-files」を使用します）

  +「audio-file」（「audio-files」を使用します）

  +「external-file」（「external-files」を使用します）（これに対する互換性ハックは、このリリース後に削除されます）

オプションおよびコマンドが削除されました：

  - chmap：誤解を招く「downmix」チャンネルレイアウト名を削除します（#4545）

  - demux_lavf：--demuxer-lavf-cryptokeyオプションを削除します（#4579）

  - input.conf：TV/DVBバインディングをドロップします

  - options：残りの非推奨オーディオデバイス選択オプションを削除します

  + --alsa-device

  + --oss-device

  + --coreaudio-exclusive

  + --pulse-sink

  + --rsound-host/--rsound-port

  + --ao-sndio-device

  + --ao-wasapi-exclusive

  + --ao-wasapi-device

  - オプション--target-brightnessを削除します

  - プロパティ「video-params / nom-peak」を削除します

修正および軽微な拡張機能：

  - TOOLS/lua/autoload.lua：実際にファイルを大文字小文字を区別してソートします（#4398）

  - TOOLS/lua/autoload.lua：「.」で始まるすべてのファイルを無視します

  - ao_pulse：フォーマットの選択を、フォールバックフォーマットとしてフロートおよびS32をS16に優先するように並べ替えます

  - command：playlist-shuffleに欠落した変更通知を追加します（#4573）

  - demux_disc：blulay字幕言語の取得を修正します（#4611）

  - demux_mkv：vp9 + libvpxを使用してアルファを修正します

  - demux_mkv：FFmpeg A_MS/ACM拡張をサポートします

  - ipc-unix：EAGAINのメッセージを切り捨てません（#4452）

  - ipc：jsonのネスト制限を引き上げます（#4394）

  - mpv_identify：非推奨のFPSプロパティを置き換えます（#4550）

  - options/path：HOMEが設定されていない場合、USERPROFILEにフォールバックします

  - player：オーディオのないトラックでオーディオデバイスを閉じます

  - player：DVDを無効にして、dvd：//再生時の潜在的なセグメンテーション違反を修正します（#4393）

  - player：短い動画でOSCバーをドラッグする場合など、検索位置が隣接するキーフレームの周りでジャンプするのを防ぎます（#4183）

  - vo_opengl：SHADER_MAX_HOOKSおよびMAX_TEXTURE_HOOKSを64に更新します

  - vo_opengl：off-by-one inを修正しますscale=oversample

  - vo_opengl：vaapi-over-GLXを使用しません（#4555）

  - vo_opengl：ブローアップする代わりに、順序付けられたディザーにフォールバックします（#4519）

  - vo_opengl：RGBではなくリニアXYZのトーンマップ

  - x11：128x128サイズのアイコンのサポートを追加します

  - ytdl_hook：geo-bypassをサポートするためのヘッダーを追加します

  - ytdl_hook：保存状態によって設定された開始時間をオーバーライドしません

  - ytdl_hook：ユーザー設定の開始時間をオーバーライドしません

  - ytdl_hook：単一エントリのプレイリストを単一のビデオとして処理します

  - gen：pairs()の出力を大切な場所でラッピングすることで安定させ、出力を再現可能にします。（#18をクローズします）バージョン3.3.15

  - AF/VFフィルター引数拡張を修正します（#15）

  - 一部のオプションに対する一部の無効な提案を削除します（#14）

  - すべての--profile-styleオプションをそのまま認識し、バージョン3.3.14として完成させます。

  - 変更された--list-options出力を--vf-add-styleオプションに反映させます

  - mpvに/etc/mpv/scriptsをghost dirとして所有させ、他のパッケージがこれを作成し、そこにスクリプトをインストールできるようにします。

mpv開発者による報告：

0.28.0までのmpvでは、VIDEO要素を含むHTMLドキュメントを読み取り、player/lua/ytdl_hook.luaのプロトコルのホワイトリストがなくてもsrc属性の任意のURLを受け入れるため、リモートの攻撃者が細工されたWebサイトを使って任意のコードを実行する可能性があります。たとえば、av: //lavfi：ladspa=file= URLを使うと、その製品は、任意のローカルパス名の共有オブジェクトファイルでdlopenを呼び出します。
この問題が生じるのは、youtube-dlが安全でないURLを提供する可能性があることが考慮されていないためです。

メディアプレーヤーであるmpvが、リモートコード実行攻撃に脆弱であることが判明しました。攻撃者が、悪意のあるWebページを細工する可能性があります。これをmpvで引数として使用すると、mpvユーザーのホストで任意のコードが実行される可能性があります。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - mpv から 0.28.0 により、リモートの攻撃者は、細工された Web サイトを通じて任意のコードを実行できます。これは、VIDEO 要素を含む HTML ドキュメントを読み込み、player/lua/ytdl_hook.lua のプロトコルホワイトリストなしで src 属性内の任意の URL を受け入れるためです。たとえば、av://lavfi:ladspa=file= URL は、製品が任意のローカルパス名にある共有オブジェクトファイルで dlopen を呼び出す必要があることを示しています。この問題が生じるのは、youtube-dlが安全でないURLを提供する可能性があることが考慮されていないためです。
    (CVE-2018-6360)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
109806	GLSA-201805-05：mpv：リモートコード実行	Nessus	Gentoo Local Security Checks	2018/5/15	2024/10/8	high
106891	openSUSEセキュリティ更新プログラム：mpv（openSUSE-2018-173）	Nessus	SuSE Local Security Checks	2018/2/20	2021/1/19	high
106734	FreeBSD: mpv -- 細工されたWebサイトによる任意コード実行（3ee6e521-0d32-11e8-99b0-d017c2987f9a）	Nessus	FreeBSD Local Security Checks	2018/2/12	2018/11/10	high
106660	Debian DSA-4105-1: mpv - セキュリティの更新	Nessus	Debian Local Security Checks	2018/2/8	2018/11/13	high
254496	Linux Distros のパッチ未適用の脆弱性: CVE-2018-6360	Nessus	Misc.	2025/8/25	2025/8/25	high

検出

プラグインの検索

high

high

high

high

high