VLC 媒体播放器发现漏洞，目前仍未修补-低调大师

VLC 媒体播放器发现漏洞，目前仍未修补

2019-07-23 782

根据 ZDNet 报道，在最新版本的 VLC 媒体播放器中发现了一个严重的漏洞，可能支持远程代码执行和其他恶意操作，而且目前没有修补程序。

非营利视频局域网的 VLC 播放器是一款流行的软件，用于播放和转换各种音频和视频文件。该软件可适用 Windows、Linux、MacOSX、Unix、IOS 和 Android 系统，事件被报道后，这款开源媒体播放器现在已经成为德国计算机应急小组（CERT-Bund）最近发布的安全咨询的焦点。

CERT-Bund 称，在 CVSS 3.0 级别上，这个漏洞的打分为 9.8/10，严重程度可想而知。它已被命名为为 CVE-2019-13615，此安全漏洞不需要权限升级或用户交互即可利用。

具体来说，当从 mkv：open in Module/demux/mkv/mkv.cpp 调用模块 /demux/mkv/demux.cpp 协议时，VLC 的 mkv：demux_sys_t：FreeUnuse() 中发现基于堆的缓冲区超读错误。ESET 表示：

远程匿名攻击者可以利用 vlc 中的漏洞执行任意代码、造成拒绝服务条件、提取信息或操作文件

虽然已经知道该漏洞是存在 Windows、Linux 和 Unix 机器上的最新版本的 VLC 中，但并不排除会影响过去版本的可能性。

德国出版物 Heise Online 报告说，只要使用一个特别的 .mp4 文件就有可能触发该漏洞，但研究人员和 CERT-Bund 尚未证实这一点。

VLC 正在快速修复，据两天前发布更新的一名开发人员称，该漏洞已被授予修补程序的最高优先级，修补程序已完成 60% 。

虽然没有发布补丁的具体日期，不过幸运的是，目前还没有发现有人利用这一漏洞。

参考：threatpost

微信关注我们

原文链接：https://www.oschina.net/news/108486/vlc-media-player-vulnerability-no-fix

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

OSChina 周三乱弹 —— 公司俩美女离职了

Osc乱弹歌单（2019）请戳（这里）【今日歌曲】 @无形的肖申克：分享広橋真紀子的单曲《時には昔の話を》: 《時には昔の話を》- 広橋真紀子手机党少年们想听歌，请使劲儿戳（这里） @小橙子的曼曼：果断放弃编码，走向产品发现我还是不太合适产品，为什么啊？是不是我不太适合工作呀？总有一束光照亮你回家的路。我需要有一束光照亮我装逼的路， @Tumblr ：有人说你怎么还在混动弹呢，都9102年了。每次发帖大家都叫我楼主，这种感受你是不会明白的，好像真有楼一样。局长（@局长）也这么想的， @局长：有人说你怎么还在混动弹呢，都9102年了。每次发动弹大家都叫我局长，这种感受你是不会明白的，好像真是局长一样。局长(@局长 )被一道光击中以后， “年轻的奥特曼并不知道他面对的对手又多么强大。” 作为年轻的员工一定要有狼性， @打飞机的猪猪侠：公司告诉我们所有员工要有狼性，把狼作为图腾，这不，昨天摸了一下女同事屁股被扇了耳光，还被记了过，我当时就不服了，去问领导你不是说的让我们要有狼性吗？我觉得我太冤枉了，我充分发挥了我的狼性啊，这有什么不对。你确定是狼性么？临走你也...

2019-07-24

746

微软官方发博表示，Java on Visual Studio Code 已经更新，在这个更新中，提到几个新的重构特性、语义选择以及提供的一些其他改进。重构在extract to variable/constant/method （提取到变量/常数/方法）之后触发器的重命名在extract to variable/constant/method重构之后，通常情况下，希望使用有意义的名称分配结果。使用此功能，将不再需要执行单独的重命名操作，所有操作都是在单个重构步骤中以流线型方式处理。将局部变量转换为字段 Extract to field（提取到字段）也是一个流行的重构。现在，在选择表达式时，可以使用 extract to field。当选择变量声明时，它将将变量转换为字段（convert the variable to field ）支持语义选择 Smart Selection（也就是语义选择）是 VS Code 添加的新特性，它可以理解 Java 代码。这样，就可以扩展或缩小与代码中插入位置的语义信息相对应的选择范围。若要扩展选择，在 Windows 上则使用 Shift...

2019-07-24

897

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。