CVE-2018-6360
Açıklama
0.28.0 sürümü dahil mpv, VIDEO öğeleri içeren HTML belgelerini okuduğu ve player/lua/ytdl_hook.lua dosyasında bir protokol beyaz listesi olmadan src özniteliğinde rastgele URL'leri kabul ettiği için, özel olarak hazırlanmış bir web sitesi aracılığıyla uzaktan saldırganların keyfi kod çalıştırmasına izin verir. Örneğin, bir av://lavfi:ladspa=file= URL'si, ürünün rastgele bir yerel dizin yolunda bulunan paylaşılan bir nesne dosyası üzerinde dlopen çağırması gerektiği anlamına gelir. Sorun, ürünün youtube-dl tarafından potansiyel olarak güvenli olmayan bir URL sağlanabileceğini dikkate almamasından kaynaklanmaktadır.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mpv mpv | v ≤ 0.28.0 | — |
| debian debian_linux | 9.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.