VLCが特定のメディアファイルを不適切に処理することがわかりました。ユーザーが誘導されて特別に細工されたファイルを開くと、リモートの攻撃者がこの問題を悪用し、VLCをクラッシュさせ、サービス拒否を引き起こしたり、任意のコードを実行したりする可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

VLC プロジェクトによる報告：

セキュリティ: * MKVデマルチプレクサーのバッファオーバーフローを修正（CVE-2019-14970）
* avcodecデコーダーでの読み取りバッファオーバーフローを修正（CVE-2019-13962）* FAADデコーダーでの読み取りバッファオーバーフローを修正 * OGGデマルチプレクサーでの読み取りバッファオーバーフローを修正（CVE-2019-14437、CVE-2019-14438）* ASFデマルチプレクサーでの読み取りバッファオーバーフローを修正（CVE-2019-14776）* MKVデマルチプレクサーでのメモリ解放後使用（Use After Free）を修正（CVE-2019-14777、CVE-2019-14778）* ASFマルチプレクサーでのメモリ解放後使用（Use After Free）を修正（CVE-2019-14533）* MP4デマルチプレクサーでのいくつかの整数アンダーフローを修正（CVE-2019-13602）* dvdnavデマルチプレクサーでのNULLデリファレンスを修正 * ASFデマルチプレクサーでのNULLデリファレンスを修正（CVE-2019-14534）* AVIデマルチプレクサーでのNULLデリファレンスを修正 * CAFデマルチプレクサーでのゼロ除算を修正（CVE-2019-14498）* ASFデマルチプレクサーでのゼロ除算を修正（CVE-2019-14535）

VLCメディアプレーヤーに複数のセキュリティ問題が発見されました。これにより、不正な形式のファイル/ストリームが処理される場合、任意コードの実行またはサービス拒否が発生する可能性があります。

vlc用のこの更新は、次の問題を修正します：

vlcがバージョン3.0.9.2に更新しました：

  + Misc：configure.acのバージョンを適切に更新します。

バージョン 3.0.9.1 からの変更：

  + Misc：earchリクエストに対して401を返すVLSubを修正します。

バージョン 3.0.9 からの変更：

  + コア：VLMを通して無効な項目を再生する際のビジーループを回避します。

  + アクセス：

  - 複数のdvdreadとdvdnavのクラッシュの修正

  - クリップ変更時のDVDグリッチを修正しました

  - 場合によっては不要なグリッチを引き起こすdvdreadコマンド/データシーケンスの反転を修正しました

  - 破損したDVDとして作成されたDVDの処理を改善します

  - SMB2/3共有のlibsmb2サポートを追加しました

  + Demux：

  - デコーダーに渡されないTTMLエンティティを修正します

  - 適用されない一部のWebVTTスタイリングタグを修正しました

  - その他のraw H264/HEVCフレームレートの修正

  - TS形式の変更での適応回帰を修正します（主にHLS）

  - twos/sowt PCMオーディオによるMP4回帰を修正しました

  - 一部のMP4 raw quicktimeとms-PCMオーディオを修正しました

  - MP4インターレース処理を修正しました

  - 複数のアダプティブスタック（DASH/HLS/Smooth）の修正

  - HLSのライブシークを有効にしました

  - HLSの一部のケースのシークを修正しました

  - SmoothとDASHのライブ再生を改善しました

  - 一部のケースの適応型の不要なストリームの終了を修正しました

  - 適応型の開始を高速化し、バッファリング制御オプションを新しくしました

  + Packetizers：

  - 一部のケースのH264/HEVCの不完全なドレインを修正します

  - packetizer_helper：最後のパケットの後続ジャンクの可能性を修正します

  - 最後のフレームまたはオーディオの欠落を引き起こしていた、パケタイザー内の欠落していたドレインを追加しました

  - fLAC同期のドロップを防ぐためにチェックを改善しました

  + Decoder：

  - avcodec：不完全なドレインを修正するためにビデオデコーダーを再ベクトル化します

  - spudec：パレット更新を実装し、一部のDVDで欠落していた字幕を修正しました

  - Windows/macOS上で適用されないWebVTT CSSスタイルを修正しました

  - zvbiでのヘブライ語テレテキストページのサポートを修正しました

  - 破損した画像に対するデコードを中止するDav1dを修正しました

  - CEA708のすべての字幕を抽出して表示します

  - libfaadを2.9.1に更新します

  - VP9プロファイル2（10ビット）のDXVAサポートを追加します

  - Amazonデバイスに伴うMediacodecのアスペクト比

  + オーディオ出力：

  - 48KHzを超えるiOS audiounitオーディオのサポートを追加しました

  - 最大384KHzのamemオーディオのサポートを追加しました

  + 動画出力：

  - 一部のドライバーでのopenglグリッチの修正

  - macOS上のGMA950 openglサポートを修正します

  - NVIDIAドライバーによるYUV to RGB StretchRectの修正

  - libpaceboの新しいトーンマッピング不飽和化アルゴリズムを使用します

  + テキストレンダラー：

  - 絵文字を含むSSA/ASSサブタイトルによるmacOSでのクラッシュを修正します

  - FreetypeレンダリングとYパディングでの不要な拡大する背景を修正しました

  + Mux：一部のYUVマッピングを修正しました

  + Service Discovery：libmicrodnsを0.1.2に更新します。

  + Misc：

  - YouTube、SoundCloud、およびVocarooスクリプトを更新します：これにより、YouTube URLの再生が復元されます。

  - Windows上で欠落していた.wplファイルと.zplファイルの関連付けを追加します

  - chromecastのオーディオ音質を改善しました

- バージョン3.0.8 'vetinari'への更新：

  + 低フレームレート動画の途切れを修正します

  + アダプティブストリーミングを改善します

  + macOS/iOS上の外部オーディオデバイスのオーディオ出力を改善します

  + 一部のAMDドライバーのDirect3D11によるハードウェアアクセラレーションを修正します

  + WebVTT字幕レンダリングを修正します

  + Vetinariは、VLCのメディアエンジンで大幅に変更されたメジャーリリースです。これは、これまで行った中で最大のリリースの1つです。注目点：

  - H.264とH.265、8ビットと10ビットのすべてのプラットフォームでハードウェアデコーディングを有効にすることで、CPUをほとんど消費しない4K60または8Kデコーディングを可能にします。

  - モバイルポートからのすべてのコードを番号付けとリリースが共通する同じコードベースにマージします。

  - 360動画と3Dオーディオをサポートし、VRコンテンツに対応します、

  - ダイレクトHDRとHDRトーンマッピングをサポートします。

  - HDオーディオコーデック用のオーディオパススルーを更新します。

  - SMB、FTP、SFTP、NFSなどのローカルネットワークドライブの参照を可能にします。

  - パスワードを安全に保存します。

  - 複数の言語とフォントをサポートするために、ComplexTextLayoutとフォントフォールバックをサポートする、新しい字幕レンダリングエンジンを導入します。

  - 新しいレンダラーフレームワークでChromeCastをサポートします。

  - WebVTT、AV1、TTML、HQX、708、Cineformなどの、さまざまな新しい形式とコーデックのサポートを追加します。

  - JavaメニューでBlurayのサポート（別名BD-J）を改善します。

  - メジャーなクリーニングと改善でmacOSインターフェイスを更新します・

  - Qt5への切り替えでWindows上のHiDPI UIをサポートします。

  - Linux上でWaylandの実験的なサポートを準備し、Linux上でデフォルトでOpenGLに切り替えます。

  + 含まれるセキュリティ修正：

  - MKVデマルチプレクサー内のバッファオーバーフローを修正します（CVE-2019-14970）

  - avcodecデコーダー内の読み取りバッファオーバーフローを修正します（CVE-2019-13962）

  - FAADデコーダー内の読み取りバッファオーバーフローを修正します

  - MKVデマルチプレクサー内の読み取りバッファオーバーフローを修正します（CVE-2019-14437、CVE-2019-14438）

  - ASFデマルチプレクサー内の読み取りバッファオーバーフローを修正します（CVE-2019-14776）

  - MKVデマルチプレクサー内のメモリ解放後使用を修正します（CVE-2019-14777、CVE-2019-14778）

  - ASFデマルチプレクサー内のメモリ解放後使用を修正します（CVE-2019-14533）

  - MP4デマルチプレクサー内のいくつかの整数アンダーフローを修正します（CVE-2019-13602）

  - dvdnavデマルチプレクサー内のNULLデリファレンスを修正します

  - ASFデマルチプレクサー内のNULLデリファレンスを修正します（CVE-2019-14534）

  - AVIデマルチプレクサー内のNULLデリファレンスを修正します

  - CAFデマルチプレクサー内のゼロ除算を修正します（CVE-2019-14498）

  - ASFデマルチプレクサー内のゼロ除算を修正します（CVE-2019-14535）

  -  libmodplug 0.8.9がまだ利用できない間はmod-plugを無効にします。

  - SDL_image（SDL 1.2）ベースのコーデックを無効にします。これは、vlc自体（libpng_plugin.so）またはlibavcodec（libavcodec_plugin.so）を介してラップされる、一部の画像読み込みライブラリ（libpng、libjpeg、...）のラッパーにすぎません。

リモートホストは、GLSA-201909-02（VLC：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がVLCで発見されています。詳細については、以下に記載されているCVE識別番号を参照してください。影響：詳細については、記載されているCVE識別番号を参照してください。回避策：現時点では、既知の回避策はありません。

リモートホストにインストールされているVLC Media Playerのバージョンは、3.0.8より前です。そのため、以下の複数の脆弱性の影響を受けます。

  - An integer underflow condition exists in the modules/demux/mp4/mp4.c component of VLC Player. 認証されていないリモートの攻撃者がこれを悪用し、細工されたmp4ファイルを提供することで、サービス拒否状態または任意のコードの実行を引き起こす可能性があります（CVE-2019-13602）。

  - VLC Playerのmodules/codec/avcodec/video.cコンポーネントに、幅と高さの値が不適切にサニタイズされていることによるヒープベースのバッファオーバーフロー状態があります。リモートの攻撃者がこれを悪用し、特別に細工された動画ファイルを提供することで、サービス拒否状態または任意のコードの実行を引き起こす可能性があります（CVE-2019-13962）。

  - VLC PlayerのASF DemuxerコンポーネントにNULLポインターデリファレンスの欠陥があります。認証されていないリモートの攻撃者が細工された入力を提供することでこれを悪用し、アプリケーションがNULLポインターを使用してメモリの読み取りまたは書き込みを試みたときに、サービス拒否状態を引き起こす可能性があります（CVE-2019-14534）。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
128756	Ubuntu 18.04 LTS : VLCの脆弱性 (USN-4131-1)	Nessus	Ubuntu Local Security Checks	2019/9/12	2023/10/21	critical
128042	FreeBSD: vlc -- 複数の脆弱性（795442e7-c355-11e9-8224-5404a68ad561）	Nessus	FreeBSD Local Security Checks	2019/8/21	2024/5/2	critical
128066	DebianDSA-4504-1: vlc - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/8/22	2024/5/2	critical
136008	openSUSEセキュリティ更新プログラム：vlc（openSUSE-2020-545）	Nessus	SuSE Local Security Checks	2020/4/27	2024/3/14	critical
128591	GLSA-201909-02：VLC：複数の脆弱性	Nessus	Gentoo Local Security Checks	2019/9/9	2024/4/26	critical
128080	VLC < 3.0.8 複数の脆弱性	Nessus	Windows	2019/8/23	2024/5/2	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical