来自思科Talos团队的安全研究职员Lilith Wyatt在LIVE555流媒体库（LIVE555 Streaming Media）中创造了一个严重的任意代码实行漏洞，包括VLC和MPlayer在内的盛行媒体播放器以及一些内嵌流媒体播放器的设备都受其影响。
LIVE555 Streaming Media是由Live Networks Inc.开拓和掩护一组为流媒体供应办理方案的跨平台开源C++库，可供企业或运用程序开拓职员通过开放标准协议（如RTP/RTCP\RTSP或SIP）传输多媒体。
LIVE555 Streaming Media支持多种视频格式的流式传输、吸收和处理，如MPEG、H.265、H.264、H.263+、VP8、DV和JPEG视频，以及一些音频编解码器，如MPEG、AAC、AMR、AC-3和Vorbis。
从干系资料来看，LIVE555 Streaming Media已经被许多有名媒体软件（例如，VLC和MPlayer）所利用，以至于这个新创造的漏洞将使得数百万用户暴露在网络攻击之下。
这个任意代码实行漏洞被追踪为CVE-2018-4013，存在于LIVE555 RTSP做事器库的HTTP数据包解析函数中。该函数通过HTTP解析HTTP报头，以便在RTSP上进行隧道传输。
“一个特制的数据包可能会导致基于堆栈的缓冲区溢出，进而导致任意代码实行。”思科Talos在其安全公告中称，“攻击者可以发送这样一个数据包来触发此漏洞。”
根据Talos团队的说法，想要成功利用这个漏洞，攻击者只须要创建一个包含多个“Accept:”或“x-sessioncookie”字符串的数据包并将其发送给受该漏洞影响的运用程序即可，这将触发“lookForHeader”函数中的堆栈缓冲区溢出，进而导致任意代码实行。
Talos团队表示，该漏洞目前已经在Live Networks LIVE555 Media Server版本0.92中得到确认，但他们认为一些早期版本也可能受其影响。
在10月10日，Talos团队就这个漏洞向Live Networks Inc.进行了通报，并在10月17日供应商发布安全补丁之后，于10月18日对漏洞进行了公开表露。
本文由 黑客视界 综合网络整理，图片源自网络；转载请注明“转自黑客视界”，并附上链接。
