PT-2021-22963 · Unknown+2 · Clementine Music Player+2

Voidsec · Publicado 2021-12-15 · Atualizado 2021-12-17 · CVE-2021-40827

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Clementine Music Player anteriores à 1.3.1 (quando é utilizada uma DLL GLib 2.0.0)

Descrição

A vulnerabilidade afeta a funcionalidade de análise de arquivos MP3, especificamente em memcpy+0x265, e é acionada quando um usuário abre um arquivo MP3 malicioso ou carrega uma URL de stream remoto que seja mal interpretada. Isso pode causar uma falha no processo clementine.exe ou, potencialmente, permitir a execução de código arbitrário no contexto do usuário do Windows atualmente conectado.

Recomendações

Para versões do Clementine Music Player anteriores à 1.3.1, considere evitar o uso de arquivos MP3 criados para esse fim ou URLs de stream remoto até que uma correção esteja disponível. Como solução alternativa temporária, restrinja o manuseio de arquivos MP3 e streams remotos para minimizar o risco de exploração.

Exploit

Correção

DoS

Memory Corruption

Enumeração de Fraquezas

CWE-787

Identificadores relacionados

CVE-2021-40827

Produtos afetados

Clementine Music Player

Debian

Glib

Referências · 8

• 🔥 https://voidsec.com/advisories/cve-2021-40827 · Exploit
• https://ubuntu.com/security/CVE-2021-40827 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-40827 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2021-40827 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-40827 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2021-40827 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-40827 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-40827 · Aviso do Fabricante