VLC 媒体播放器 libmicrodns 库多个缝隙风险公告

颁布功夫 2020-03-26

缝隙编号和级别


CVE编号：CVE-2020-6071，，，，，危险级别：高危，，，，，CVSS分值：厂商自评：7.5，，，，，官方未评定

CVE编号：CVE-2020-6072，，，，，危险级别：严沉，，，，，CVSS分值：厂商自评：9.8，，，，，官方未评定

CVE编号：CVE-2020-6073，，，，，危险级别：高危，，，，，CVSS分值：厂商自评：7.5，，，，，官方未评定

CVE编号：CVE-2020-6077，，，，，危险级别：高危，，，，，CVSS分值：厂商自评：7.5，，，，，官方未评定

CVE编号：CVE-2020-6078，，，，，危险级别：高危，，，，，CVSS分值：厂商自评：7.5，，，，，官方未评定

CVE编号：CVE-2020-6079，，，，，危险级别：高危，，，，，CVSS分值：厂商自评：7.5，，，，，官方未评定

CVE编号：CVE-2020-6080，，，，，危险级别：高危，，，，，CVSS分值：厂商自评：7.5，，，，，官方未评定


影响版本


libmicrodns库版本0.1.0


缝隙概述


近日，，，，，思科Talos的安全钻研人员披露Videolabs的libmicrodns库中的多个DoS和代码执行缝隙。。。。。Videolabs由VideoLAN成员缔造，，，，，是VLC移动利用法式确当前编纂者，，，，，也是VLC媒体播放器的沉要贡献者。。。。。libmicrodns是跨平台的mDNS解析器库，，，，，在VLC媒体播放器中用于mDNS服务发现。。。。。缝隙概述如下：


CVE-2020-6071

Videolabs libmicrodns 0.1.0版本中的资源纪录解析职能存在安全缝隙，，，，，该缝隙源于法式在解析mDNS新闻中的压缩标签时，，，，，没有进行递归查抄便直接使用压缩指针。。。。。攻击者可利用该缝隙造成回绝服务。。。。。


CVE-2020-6072

Videolabs libmicrodns 0.1.0版本中的标签解析职能存在安全缝隙，，，，，该缝隙源于法式在解析mDNS新闻中的压缩标签时，，，，，不会查抄‘rr_decode’函数的返回值。。。。。攻击者可利用该缝隙执行肆意代码。。。。。


CVE-2020-6073

Videolabs libmicrodns 0.1.0的TXT纪录解析职能存在输入验证谬误缝隙。。。。。该缝隙源于网络系统或产品未对输入的数据进行正确的验证。。。。。


CVE-2020-6077

Videolabs libmicrodns 0.1.0的新闻解析职能中存在可利用的回绝服务缝隙。。。。。该缝隙源于解析mDNS新闻时，，，，，实现无法正确跟踪新闻中的可用数据，，，，，可能会导致超出领域的读�。。。。。�，，从而导致回绝服务。。。。。


CVE-2020-6078

Videolabs libmicrodns 0.1.0版本中的新闻解析职能存在安全缝隙，，，，，该缝隙源于在解析mDNS新闻时，，，，，法式未查抄‘mdns_read_header’函数的返回值。。。。。攻击者可通过发送一系列新闻利用该缝隙导致服务崩溃。。。。。


CVE-2020-6079, CVE-2020-6080

Videolabs libmicrodns 0.1.0版本中的资源分配处置中存在资源治理谬误。。。。。该缝隙源于网络系统或产品对系统资源（如内存、磁盘空间、文件等）的治理不当。。。。。


缝隙验证


暂无PoC/EXP。。。。。


建复建议


目前厂商已颁布升级补丁以建复缝隙，，，，，衔接：https://github.com/videolabs/libmicrodns。。。。。


参考链接


https://blog.talosintelligence.com/2020/03/vuln-spotlight-videolabs-microdns.html