Há alguns dias, foi lançada uma nova versão corretiva do popular reprodutor multimídia VLC, a versão 3.0.8 , na qual erros acumulados foram corrigidos e 13 vulnerabilidades foram reparadas.
Dentre esses, três problemas (CVE-2019-14970, CVE-2019-14777, CVE-2019-14533) podem levar à execução de código malicioso ao tentar reproduzir arquivos multimídia especialmente criados nos formatos MKV e ASF (estouro de buffer durante a gravação e dois problemas de acesso à memória após a sua liberação).
Por outro lado, quatro vulnerabilidades nos controladores de formato OGG, AV1, FAAD e ASF são causadas pela capacidade de ler dados de áreas de memória fora do buffer alocado.
Três problemas levam ao desreferenciamento do ponteiro NULL nos formatos dvdnav, ASF e AVI descompactados. Uma vulnerabilidade permite o estouro de inteiro no desempacotador MP4.
Sobre vulnerabilidades corrigidas
Os desenvolvedores do VLC observaram que o problema no descompactador do formato OGG (CVE-2019-14438) envolvia a leitura de uma área fora do buffer (estouro de buffer de leitura), mas os pesquisadores de segurança que descobriram a vulnerabilidade afirmam que é possível causar estouros de gravação e orquestrar a execução de código processando arquivos OGG, OGM e OPUS com um bloco de cabeçalho especialmente criado.
Existe também uma vulnerabilidade (CVE-2019-14533) no descompactador do formato ASF, que permite escrever dados em uma área de memória já liberada e executar código realizando varreduras para frente ou para trás na linha do tempo durante a reprodução de arquivos WMV e WMA.
Além disso, os problemas CVE-2019-13602 (estouro de número inteiro) e CVE-2019-13962 (leitura de uma área fora do buffer) foram atribuídos a um nível de perigo crítico (8.8 e 9.8), mas os desenvolvedores de VLC não concordaram e consideram que essas vulnerabilidades não são perigosas (sugira alterar o nível para 4.3).
As correções não relacionadas à segurança incluem a eliminação de travamentos ao assistir vídeos com baixas taxas de quadros e a melhoria do suporte para streaming adaptativo (código de buffer aprimorado).
Eles também ajudam a resolver problemas com a renderização de legendas WebVTT e melhorar a saída de áudio em plataformas macOS e iOS.
O script de download do YouTube também foi atualizado, resolvendo problemas com o uso do Direct3D11 para usar aceleração de hardware em sistemas com alguns drivers AMD.
Como instalar o VLC Media Player 3.0.8 no Linux?
Para usuários de Debian, Ubuntu, Linux Mint e derivados, basta digitar o seguinte no terminal:
sudo apt-get update sudo apt-get install vlc browser-plugin-vlc
Para usuários do Arch Linux, Manjaro, Arco Linux ou qualquer distribuição derivada do Arch Linux, devemos digitar:
sudo pacman -S vlc
Se você é um usuário da distribuição KaOS Linux, o comando de instalação é o mesmo do Arch Linux.
Agora, para quem usa qualquer versão do openSUSE, basta digitar o seguinte no terminal para instalar:
sudo zypper instalar vlc
Para usuários do Fedora e de qualquer versão derivada, é necessário digitar o seguinte:
sudo dnf install https://download1.rpmfusion.org/free/fedora/rpmfusion-free-release-$(rpm -E% fedora) .noarch.rpm sudo dnf install vlc
Para outras distribuições Linux, podemos instalar este software usando pacotes Flatpak ou Snap. Precisamos apenas de suporte para a instalação de aplicativos usando essas tecnologias.
Se você deseja instalar usando o Snap, basta digitar o seguinte comando no terminal:
sudo snap instalar vlc
Para instalar a versão candidata do programa, faça-o com:
sudo snap install vlc --candidate
Finalmente, se você deseja instalar a versão beta do programa, você deve digitar:
sudo snap install vlc --beta
Se você instalou o aplicativo do Snap e deseja atualizar para a nova versão, basta digitar:
sudo snap update vlc
Por fim, para aqueles que desejam instalar a partir do Flatpak, basta utilizar o seguinte comando:
Instalação do Flatpak --user https://flathub.org/repo/appstream/org.videolan.vlc.flatpakref
E se já tiverem instalado e quiserem atualizar, devem digitar:
flatpak - atualização do usuário org.videolan.VLC