Баг в библиотеке live555 неопасен для VLC и MPlayer

Исследователи Cisco Talos опубликовали подробный обзор опасной RCE-уязвимости CVE-2018-4013 в стриминговой библиотеке live555 компании Live Networks, которую используют многие популярные медиаплееры. LIVE555 Streaming Media – это набор C++ библиотек с открытым исходным кодом, разработанных для потоковой передачи мультимедийных данных и работы с протоколами RTP/RTCP, RTSP или SIP.

Аналитики пишут, что проблема связана с парсингом HTTP-пакетов и всего один специально созданный пакет может спровоцировать переполнение буфера стека и привести к исполнению произвольного кода.

Однако в своем отчете специалисты Cisco прибегли к весьма интересной формулировке. Они упоминают, что live555 поддерживает серверную и клиентскую стороны, а также используется множеством популярных медиаплееров, включая VLC и MPlayer.

При этом исследователи почему-то не акцентируют внимание на том, что уязвимость проявляется лишь на серверной стороне, а упомянутые медиаплееры используют только клиентскую часть live555.

В итоге во многих СМИ уже успели появиться сообщения об опасной уязвимости, которой подвержены VLC и MPlayer, хотя это не так. Теперь разработчики VLC подчеркивают в Twitter, что эксперты Cisco не писали прямо об уязвимости их решения, и объясняют, что брешь в live555 для их медиаплеера неопасна. То же самое относится и к MPlayer.

Are you _sure_ about what you are claiming?
VLC uses live555 client side, and not server side. The vulnerability is on the RTSP Server class…
Also, Talos report does not say VLC is impacted.

— VideoLAN (@videolan) October 22, 2018

Источник