VLC和MPlayer使用的流媒体库被曝出高危漏洞

外媒消息，思科 Talos团队的安全研究人员在 LIVE555 流媒体库中发现了一个严重的代码执行漏洞。该库正被用于包括 VLC 和 MPlayer 在内的多款流行播放器中。由Live Networks开发和维护的 LIVE555 是一个为流媒体提供解决方案的跨平台的 C++ 库，实现了对各种视频格式的流式传输、接收和处理，如 MPEG、H.265、H.264、H.263 +、VP8、DV 和 JPEG 视频编解码格式，以及 MPEG、AAC、AC-3 和Vorbis 等音频格式。同时，由于良好的设计， Live555 也非常容易扩展对其他格式的支持。

安全人员指出，漏洞（TALOS-2018-0684）存在于 LIVE555 的 HTTP 包解析功能中：

“一个特制的数据包可能会导致基于堆栈的缓冲区溢出，从而导致代码执行，攻击者可通过发送数据包来触发此漏洞。

安全人员表示，该漏洞已确认存在于 LIVE555 0.92 版本中，不排除出现在早期版本的产品中。

LIVE555 作者回应称，该漏洞只影响库的 RTSP 服务器端实现，不影响 RTSP 客户端实现，新版本已释出修复补丁。

来自：thehackernews 编译：开源中国