The version of VLC media player installed on the remote host is earlier than 2.2.9.  It is, therefore, affected by a type conversion vulnerability in modules/demux/mp4/libmp4.c in the MP4 demux module leading to a invalid free, because the type of a box may be changed between a read operation and a free operation.(CVE-2017-17670).

Hans Jerry Illikainen discovered a type conversion vulnerability in the MP4 demuxer of the VLC media player, which could result in the execution of arbitrary code if a malformed media file is played.

This update upgrades VLC in stretch to the new 3.x release series (as security fixes couldn't be sensibly backported to the 2.x series). In addition two packages needed to be rebuild to ensure compatibility with VLC 3; phonon-backend-vlc (0.9.0-2+deb9u1) and goldencheetah (4.0.0~DEV1607-2+deb9u1).

VLC in jessie cannot be migrated to version 3 due to incompatible library changes with reverse dependencies and is thus now declared end-of-life for jessie. We recommend to upgrade to stretch or pick a different media player if that's not an option.

Hans Jerry Illikainen氏は、VLCメディアプレーヤーのMP4デマルチプレクサーでUse After Freeを発見しました。これにより、無効な形式のメディアファイルが再生されると、任意コード実行が発生する可能性があります。

この更新は、stretchのVLCを新しい3.xリリースシリーズにアップグレードします（セキュリティの修正が2.xシリーズに適切にバックポートできないことが原因です。さらに、VLC 3との互換性を確保するために、以下の2つのパッケージを再構築する必要がありました。phonon-backend-vlc（0.9.0-2+deb9u1）およびgoldencheetah（4.0.0〜DEV1607-2+deb9u1）。

jessieのVLCは、逆依存関係のあるライブラリ変更との互換性がないため、バージョン3に移行できません。このため、jessieに対する提供終了が発表されています。それが不可能な場合は、アップグレードして別のメディアプレーヤーを拡張または選択することをお勧めします。

遠端主機上安裝的 VLC media player 版本早於 2.2.9。因此，該應用程式受到 MP4 demux 模組的 modules/demux/mp4/libmp4.c 中的類型轉換弱點影響，此弱點可導致無效釋放，這是方塊類型可能在讀取作業和釋放作業之間變更所致。(CVE-2017-17670)

リモートホストにインストールされている VLC Media Player のバージョンが、 2.2.9 より前です。このため、MP4 demuxモジュールのmodules/demux/mp4/libmp4.cにある型変換の脆弱性の影響を受け、無効な解放が発生します。これは、ボックスのタイプが読み取り操作と解放操作の間に変更される可能性があるためです。（CVE-2017-17670）。

Hans Jerry Illikainen 在 VLC 媒体播放器的 MP4 demuxer 中发现一个类型转换漏洞，如果播放格式错误的媒体文件，可导致执行任意代码。此更新将 VLC 全面升级到新的 3.x 版本系列（因为无法智能地将安全修复反向移植到 2.x 系列）。此外，需要重建两个程序包以确保与 VLC 3 兼容：phonon-backend-vlc (0.9.0-2+deb9u1) 和 goldencheetah (4.0.0~DEV1607-2+deb9u1)。由于库的更改不兼容且具有反向依赖性，无法将 jessie 中的 VLC 迁移到版本 3，因此现在宣布其在 jessie 中的寿命结束。如果无法接受这个选择，建议升级至 stretch 或者选择其他媒体播放器。

Hans Jerry Illikainen 在 VLC 媒體播放器的 MP4 demuxer 中發現一個類型轉換弱點，如果播放格式錯誤的媒體檔案可能導致任意程式碼執行。此更新會將 stretch 中的 VLC 升級為新的 3.x 版本系列 (因為安全性修正無法明智地反向移植為 2.x 系列)。此外，必須重新建置兩個套件，以確保與 VLC 3 的相容性；phonon-backend-vlc (0.9.0-2+deb9u1) 和 goldencheetah (4.0.0~DEV1607-2+deb9u1)。jessie 中的 VLC 無法移轉至版本 3，因為不相容的程式庫變更具有反向相依性，因此現在宣告 jessie 產品生命週期結束。建議您升級為 stretch，如果無法升級請選擇不同的媒體播放器。

远程主机上安装的 VLC 媒体播放器版本低于 2.2.9。因此，该应用程序受到 MP4 demux 模块的 modules/demux/mp4/libmp4.c 中的类型转换漏洞的影响，该漏洞会导致无效释放，这是因为方框类型可能会在读取操作和释放操作之间改变。(CVE-2017-17670)。

ID	名稱	產品	系列	已發布	已更新	嚴重性
136896	VLC < 2.2.9 Type Conversion Vulnerability	Nessus	Windows	2020/5/27	2024/3/8	high
109902	Debian DSA-4203-1 : vlc - security update	Nessus	Debian Local Security Checks	2018/5/18	2018/11/13	high
109902	DebianDSA-4203-1：vlc - セキュリティ更新	Nessus	Debian Local Security Checks	2018/5/18	2018/11/13	high
136896	VLC < 2.2.9 類型轉換弱點	Nessus	Windows	2020/5/27	2024/3/8	high
136896	VLC 2.2.9より前の型変換の脆弱性	Nessus	Windows	2020/5/27	2024/3/8	high
109902	Debian DSA-4203-1：vlc - 安全更新	Nessus	Debian Local Security Checks	2018/5/18	2018/11/13	high
109902	Debian DSA-4203-1：vlc - 安全性更新	Nessus	Debian Local Security Checks	2018/5/18	2018/11/13	high
136896	VLC < 2.2.9 类型转换漏洞	Nessus	Windows	2020/5/27	2024/3/8	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high