在函数getbits insrc / libmpg123 / getbits.h中读取基于堆的缓冲区

CVE编号

CVE-2017-12839

利用情况

暂无

补丁情况

官方补丁

披露时间

2019-05-10

漏洞描述

在mpg123到1.25.5中的src / libmpg123 / getbits.h中的getbits函数中读取基于堆的缓冲区允许远程攻击者导致可能的拒绝服务（越界读取）或可能未指定通过精心制作的mp3文件产生的其他影响。<br>

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://sourceforge.net/p/mpg123/bugs/255/
https://www.mpg123.de/
https://www.mpg123.de/cgi-bin/scm/mpg123/trunk/src/libmpg123/getbits.h?r1=202...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	mpg123	mpg123	*		Up to (including) 1.25.5
	运行在以下环境
	系统	debian_9	mpg123	*		Up to (excluding) 1.23.8-1

阿里云评分 3.1

• 攻击路径 远程
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID 漏洞类型 CWE-125 跨界内存读