S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 03 mai 2004
N° CERTA-2004-AVI-152
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité de MPlayer et Xine

Gestion du document

Référence CERTA-2004-AVI-152
Titre Vulnérabilité de MPlayer et Xine
Date de la première version03 mai 2004
Date de la dernière version01 juin 2004
Source(s) Avis de sécurité Xine XSA-2004-3
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance

Systèmes affectés

  • MPlayer 1.0pre1-pre3try2 ;
  • xine-lib versions 1-beta1 à 1-rc3c.

Résumé

Plusieurs vulnérabilités ont été découvertes dans MPlayer et Xine permettant à un utilisateur mal intentionné d'exécuter du code arbitraire à distance.

Description

MPlayer et Xine sont des lecteurs multimedia open-source. RTSP (Real-Time Streaming Protocol) est un protocole de gestion de flux multimedia utilisé notamment pour communiquer avec les serveurs RealNetworks.
MPlayer et Xine partagent le même code source quant à la gestion du protocole RTSP.
Plusieurs vulnérabilités ont été découvertes dans le code gérant le procotole RTSP permettant à un utilisateur mal intentionné d'exécuter du code arbitraire à distance.

Solution

  • Mettre à jour MPlayer en version 1.0pre4. Site Internet de téléchargement de MPlayer :

    http://www.mplayerhq.hu/homepage/dload.html

  • Mettre à jour xine-lib en version 1-rc4. Site Internet de téléchargement de xine-lib :

    http://xinehq.de/index.php/releases

Documentation

Gestion détaillée du document

    le 03 mai 2004
    version initiale.
    le 12 mai 2004
    ajout des références aux bulletins de sécurité OpenBSD et NetBSD.
    le 17 mai 2004
    correction des références aux bulletins de sécurité NetBSD, ajout du bulletin de sécurité de SUSE.
    le 01 juin 2004
    ajout de la référence au bulletin de sécurité Gentoo et de la référence CVE.