MPV任意代码执行漏洞

CVE编号

CVE-2018-6360

利用情况

暂无

补丁情况

官方补丁

披露时间

2018-01-28

漏洞描述

MPV是一款免费的、跨平台的开源媒体播放器。
MPV 0.28.0及之前版本中存在安全漏洞。远程攻击者可借助特制的网站利用该漏洞执行任意代码。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://github.com/mpv-player/mpv/commit/e6e6b0dcc7e9b0dbf35154a179b3dc1fcfcaff43

参考链接
https://github.com/mpv-player/mpv/commit/e6e6b0dcc7e9b0dbf35154a179b3dc1fcfcaff43
https://github.com/mpv-player/mpv/issues/5456
https://security.gentoo.org/glsa/201805-05
https://www.debian.org/security/2018/dsa-4105

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	mpv	mpv	*		Up to (including) 0.28.0
	运行在以下环境
	系统	alpine_3.10	mpv	*		Up to (excluding) 0.27.0-r3
	运行在以下环境
	系统	alpine_3.11	mpv	*		Up to (excluding) 0.27.0-r3
	运行在以下环境
	系统	alpine_3.12	mpv	*		Up to (excluding) 0.27.0-r3
	运行在以下环境
	系统	alpine_3.13	mpv	*		Up to (excluding) 0.27.0-r3
	运行在以下环境
	系统	alpine_3.14	mpv	*		Up to (excluding) 0.27.0-r3
	运行在以下环境
	系统	alpine_3.15	mpv	*		Up to (excluding) 0.27.0-r3
	运行在以下环境
	系统	alpine_3.7	mpv	*		Up to (excluding) 0.27.0-r2
	运行在以下环境
	系统	alpine_3.8	mpv	*		Up to (excluding) 0.27.0-r3
	运行在以下环境
	系统	alpine_3.9	mpv	*		Up to (excluding) 0.27.0-r3
	运行在以下环境
	系统	alpine_edge	mpv	*		Up to (excluding) 0.27.0-r3
	运行在以下环境
	系统	debian_9	mpv	*		Up to (excluding) 0.23.0-2+deb9u1
	运行在以下环境
	系统	opensuse_Leap_42.3	mpv	*		Up to (excluding) 3.3.16-13.5.1
	运行在以下环境
	系统	ubuntu_18.04	mpv	*		Up to (excluding) 0.27.2-1ubuntu1
	运行在以下环境
	系统	ubuntu_20.04	mpv	*		Up to (excluding) 0.27.2-1ubuntu1
	运行在以下环境
	系统	ubuntu_21.04	mpv	*		Up to (excluding) 0.27.2-1ubuntu1
查看完整数据

阿里云评分 3.1

• 攻击路径 远程
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID 漏洞类型 CWE-20 输入验证不恰当