Кілька днів тому вийшла нова коригувальна версія популярного мультимедійного плеєра VLC 3.0.8 , в якій було виправлено накопичені помилки та виправлено 13 вразливостей.
Серед них три проблеми (CVE-2019-14970, CVE-2019-14777, CVE-2019-14533) можуть призвести до виконання коду зловмисника під час спроби відтворення спеціально створених мультимедійних файлів у форматах MKV та ASF (переповнення буфера для запису та дві проблеми з доступом до пам'яті після її звільнення).
З іншого боку, чотири вразливості в контролерах форматів OGG, AV1, FAAD та ASF спричинені можливістю зчитування даних з областей пам'яті за межами виділеного буфера.
Три проблеми призводять до розстановки посилань на покажчик NULL при розпакуванні у форматі dvdnav, ASF та AVI. Уразливість дозволяє переповнювати цілі числа в розпаковувальному файлі MP4.
Про виправлені вразливості
Розробники VLC зазначили, що проблема в розпаковувачі формату OGG (CVE-2019-14438) стосувалася читання з області поза буфером (переповнення буфера читання), але дослідники безпеки, які виявили вразливість, стверджують, що можна спричинити переповнення запису та оркеструвати виконання коду, обробляючи файли OGG, OGM та OPUS за допомогою спеціально створеного блоку заголовка.
Також існує вразливість (CVE-2019-14533) у розпаковувачі формату ASF, яка дозволяє записувати дані у вже звільнену область пам'яті та досягати виконання коду, виконуючи сканування вперед або назад на часовій шкалі під час відтворення файлів WMV та WMA.
Крім того, проблемам CVE-2019-13602 (переповнення цілого числа) та CVE-2019-13962 (зчитування з області за межами буфера) було призначено критичний рівень небезпеки (8.8 та 9.8), але розробники VLC не погодились і вважають, що ці вразливості не небезпечні (пропонуємо змінити рівень на 4.3).
Виправлення, не пов'язані з безпекою, включають усунення заїкання під час перегляду відео з низькою частотою кадрів та покращення підтримки адаптивного потокового передавання (покращений код буферизації).
Вони також допомагають вирішити проблеми з відтворенням субтитрів WebVTT, покращують вихід звуку на платформах macOS та iOS.
Також був оновлений сценарій для завантаження з YouTube, вирішуючи проблеми з використанням Direct3D11 для використання апаратного прискорення в системах з деякими драйверами AMD.
Як встановити VLC Media Player 3.0.8 на Linux?
Для користувачів Debian, Ubuntu, Linux Mint та похідних версій просто введіть наступну команду в терміналі:
sudo apt-get update sudo apt-get install vlc browser-plugin-vlc
Для тих, хто користується Arch Linux, Manjaro, Arco Linux або будь-яким дистрибутивом, похідним від Arch Linux, нам потрібно ввести:
Судo Pacman -S VLC
Якщо ви користуєтесь дистрибутивом KaOS Linux, команда встановлення така ж, як і для Arch Linux.
Тепер, для тих, хто користується будь-якою версією openSUSE, вам потрібно лише ввести наступне в терміналі для встановлення:
sudo zypper встановити vlc
Для тих, хто є користувачами Fedora та будь-яких її похідних, необхідно ввести наступне:
sudo dnf install https://download1.rpmfusion.org/free/fedora/rpmfusion-free-release-$(rpm -E% fedora) .noarch.rpm sudo dnf install vlc
Для інших дистрибутивів Linux ми можемо встановити це програмне забезпечення за допомогою пакетів Flatpak або Snap. Нам просто потрібна підтримка встановлення програм, що використовують ці технології.
Якщо ви хочете встановити за допомогою Snap, просто введіть таку команду в терміналі:
sudo snap встановлення vlc
Щоб встановити версію програми-кандидата, зробіть це за допомогою:
sudo snap install vlc --candidate
Нарешті, якщо ви хочете встановити бета-версію програми, вам слід набрати:
sudo snap install vlc --beta
Якщо ви встановили програму з Snap і хочете оновити її до нової версії, вам просто потрібно ввести:
sudo snap refresh vlc - -
Нарешті, для тих, хто хоче встановити з Flatpak, вони роблять це за допомогою наступної команди:
встановити flatpak - користувач https://flathub.org/repo/appstream/org.videolan.VLC.flatpakref
І якщо вони вже встановили і хочуть оновити, вони повинні ввести:
flatpak - оновлення користувача org.videolan.VLC