MPlayer Audio Header ``strf'' Parameter Buffer Overflow Vulnerability

MPlayer

Az FrSirt szerint olyan buffer overflow hiba van az MPlayer-ben, amelyet kihasználva, a támadónak tetszőleges kódfuttatásra nyílhat lehetősége. A biztonsági oldal a rizikót magasnak ítéli. A hiba a leírás szerint távolról és helyileg is egyaránt kihasználható. A felfedezője a saját bejelentésében azt állítja, hogy értesítette az MPlayer csapatot, de az nem reagált a hibára.Szerinte augusztus 10-én fedezte fel a hibát, majd 16-án kapcsolatba lépett a vendorral (ez esetben az MPlayer fejlesztőkkel). Ezzel egy időben publikálta a hiba leírását. Mivel állítása szerint augusztus 24-ig nem kapott visszajelzést a fejlesztőktől, elküldte az infót a full-disclosure listára.

A probléma a felfedező bejelentése szerint érinti az MPlayer 1.0_pre7 és korábbi verziókat is (pontosan a bejelentésben). Az MPlayerHQ-n nincs infó a hibáról, csak a dev-eng listán jelzi egy szál, hogy a fejlesztők valamilyen módon tudnak a dologról.

Azert valaszod nem tul kedves, mi az hogy "melleny az volt" ... Inkabb orulnel hogy valaki szabad idejeben foglalkozik valamivel ami masokat is erdekelhet ... Ugy mondod, mintha kotelessege lenne fejleszteni, meg el kene marasztalni amiert mar nincs ideje ra.

Amennyire én emlékszem olyan licenszelést akart, hogy akár tudja árulni vendoroknak is a cuccot, hogy pl. asztali dvdjátékos is mehessen "mplayer-motor"ral...

Aztán nem mindenki látta át, hogy jobb lenne neki, ha nem vagy nem csak GPL licensszel lenne kiadva a cucc. Vagy vmi. ilyesmi...

Arpi amiatt is aggodot, hogy sose fog GPL es multimedia tokeletesen passzolni, mert legtobb gyarto pl nem ad ki driveret/codecet stb gpl cucchoz hiszen akkor forrast is adnia kene, illetve forditva: sajat termekeihez (sw/hw) inkabb licenszel vmit mert nem akarja kiadni a forrast, amit gpl cucc hasznalatanal kene ugye (foleg mert mas reszek nem is gpl-esek). Max ellopjak :) Nade ez volt az egyik ok. Amugy a developerek tobbsege (en is, mielott megkerdezi vki) beleegyezett a dual licenszelesbe, es nyilvan nem lett volna atveve olyan kod amit vki irt aki nem egyezik bele. Szoval en nem hinnem hogy (csak?) ez lett volna a problema.

Sajna Arpival azota nem sokat beszeltem, majd megkerdezem egyszer.

( kovi | 2005. 08. 26., p – 13:34 )

"A felfedezője a saját bejelentésében azt állítja, hogy értesítette az MPlayer csapatot, de az nem reagált a hibára."

-a felfedezett bug sajnálatos tény, viszont orvosolható - így benne van a pakliben. de az még sajnálatosabb, hogy ez a nem reagálás személy már szerint nem lep meg...

off

ráadásul futótűzként terjed a vlc...

/off

az, h vki ir 1 levelet a -usersre az nem a vendor ertesitese. senki sem gondolja komolyan, h mindenkinek van ideje elolvasni a -usersen levo osszes levelet

egyebkent pedig meg van adva a honlapon Diego cime, h ot tessek ertesiteni ilyen esetben, es nem a listat (ertheto okokbol)

ez okés, viszont engem viszont ez azért nem lepett meg ez a dolog, mert az mplayer körül minden csigatempóban megy már egy éve, sajnos... :( még egy ilyen év és megkérdőjelezhetetlenül túlhaladott lesz, és ismét csak hozzáteszem: sajnos.

De tegnap ota mar tudnak a dologrol, igy velemenyem szerint:

- vagy megerositeni,

- vagy cafolni kellene

Ha ez nem hiba, akkor meg kene nyugtatni az embereket, ha meg az, akkor vagy ertesiteni oket a workaround-rol (ha van), ha nincs akkor pedig arrol, hogy folyamatban van a javitas elkeszitese.

Mint ex-mplayer fejleszto megjegyeznem hogy az mplayer-ben egy rakat hasonlo bugot lehetne talalni ha valaki egyszer kielemezne a forrasat ;) Anno mint sok dologban uttoro project ugyanis ossze-vissza lett irogatva/ganyolva hogy mukodjon ez vagy az (neha eloszor Linux platformon egyatalan) es ennek szerintem valszeg' most is megvan meg az oroksege. Nem mintha a xine/avifile/whatever sokkal jobb lenne am, mielott valaki megszolal :) Inkabb arrol van szo, hogy talan nullarol kene irni egy uj player-t ami mar a "multimedias unix vagy mi" generiacio termeke, ahol megvannak az alapok stb stb, nem tudom ertheto-e a feeling amit kozvetiteni akarok. Amugy ilyen project lett volna, az "mplayer G2" vagy roviden G2, nem tudom Arpi miert hagyta abba vegulis ...