Брешь в наборе библиотек LIVE555 Streaming Media позволяет злоумышленнику удаленно выполнить сторонний код на уязвимом устройстве. Баг, выявленный специалистами Cisco Talos, затрагивает популярные медиаплееры VLC и MPlayer, а также ряд видеокамер. Ошибку обнаружили в начале октября этого года, разработчики уже выпустили патч.

LIVE555 Streaming Media — это комплект библиотек на C++ с открытым кодом, созданный компанией Live Networks Inc. Он предназначен для ведения онлайн‑трансляций с использованием протоколов RTP/RTCP и RTSP, а также поддерживает распространенные мультимедийные форматы H.264, MPEG, AAC и другие. Набор имеет как серверную, так и клиентскую реализацию и обеспечивает туннелирование RTSP-пакетов по стандартному каналу HTTP.

Как выяснили исследователи, удаленный злоумышленник может вызвать переполнение буфера стека, отправив на TCP-порт целевой системы пакеты, содержащие в заголовке несколько строк типа Accept: или x‑sessioncookie. Неправильная обработка таких команд в процессе HTTP-парсинга приводит к ошибке в работе функции lookForHeader. Следствием нарушения работы комплекта библиотек может стать выполнение стороннего кода.

Уязвимость CVE-2018-4013 затрагивает Live Networks LIVE555 Media Server версии 0.92, однако может присутствовать и в более ранних сборках продукта. ИБ-эксперты проинформировали разработчика библиотек о наличии проблемы 10 октября, а спустя неделю Live Networks Inc. выпустила обновление, закрывающее брешь. Тем не менее, конечные пользователи останутся под угрозой взлома до тех пор, пока изменения не будут внесены во все приложения, использующие проблемный код.

По оценкам компании Sonatype, за последний год число уязвимых open-source компонентов, используемых в программных продуктах, возросло на 120%. При этом специалисты считают, что это лишь верхушка айсберга, поскольку в общедоступной базе CVE нет информации об 1,3 млн брешей, относящихся к этому типу ПО.

Категории: Кибероборона, Уязвимости