リモートホストは、GLSA-201805-05（mpv：リモートコード実行）で説明されている脆弱性に影響されています。VIDEO要素を含むHTMLドキュメントの処理に関する脆弱性がmpvで発見されました。さらにmpvは、player/lua/ytdl_hook.luaのプロトコルのホワイトリストなしで、src属性内の任意のURLを受け入れます。影響：リモートの攻撃者が、特別に細工されたWebサイトにアクセスするようにユーザーを誘導することで、任意のコードを実行する可能性があります。回避策：現時点では、既知の回避策はありません。

The remote host is affected by the vulnerability described in GLSA-201805-05 (mpv: Remote code execution)

    A vulnerability was discovered in mpv with the handling of HTML       documents containing VIDEO elements. Additionally, mpv accepts arbitrary       URLs in a src attribute without a protocol whitelist in       player/lua/ytdl_hook.lua.
  Impact :

    A remote attacker, by enticing the user to visit a specially crafted web       site, could execute arbitrary code.
  Workaround :

    There is no known workaround at this time.

遠端主機受到 GLSA-201805-05 中所述的弱點影響 (mpv：遠端程式碼執行)

    在 mpv 處理內含 VIDEO 元素的 HTML 文件的方式中，發現一個弱點。此外，mpv 接受 src 屬性中的任意 URL (在 player/lua/ytdl_hook.lua 中沒有通訊協定允許清單)。
  影響：

    遠端攻擊者可引誘使用者造訪特製的網站，從而執行任意程式碼。
  因應措施：

    目前尚無已知的因應措施。

远程主机受到 GLSA-201805-05 中所述漏洞的影响（mpv：远程代码执行）

    在处理内含 VIDEO 元素的 HTML 文档时，在 mpv 中发现一个漏洞。此外，mpv 接受 src 属性中的任意 URL（在 player/lua/ytdl_hook.lua 中没有协议白名单）。
  影响：

    远程攻击者可引诱用户访问特制的网站，从而执行任意代码。
  变通方案：

    目前无任何已知的变通方案。

mpv developers report :

mpv through 0.28.0 allows remote attackers to execute arbitrary code via a crafted website, because it reads HTML documents containing VIDEO elements, and accepts arbitrary URLs in a src attribute without a protocol whitelist in player/lua/ytdl_hook.lua. For example, an av://lavfi:ladspa=file= URL signifies that the product should call dlopen on a shared object file located at an arbitrary local pathname.
The issue exists because the product does not consider that youtube-dl can provide a potentially unsafe URL.

This update for mpv fixes the following issues :

MPV was updated to version 0.27.2

Security issues fixed :

  - CVE-2018-6360: Additional fix for where mpv allowed     remote attackers to execute arbitrary code via a crafted     website, because it read HTML documents containing VIDEO     elements, and accepts arbitrary URLs in a src attribute     without a protocol whitelist in     player/lua/ytdl_hook.lua. For example, an     av://lavfi:ladspa=file= URL signifies that the product     should call dlopen on a shared object file located at an     arbitrary local pathname. The issue exists because the     product does not consider that youtube-dl can provide a     potentially unsafe URL. (boo#1077894)

Fixes and minor enhancements :

  - ytdl_hook: whitelist subtitle URLs as well (#5456)

MPV was updated to version 0.27.1

Security issues fixed :

  - CVE-2018-6360: mpv allowed remote attackers to execute     arbitrary code via a crafted website, because it read     HTML documents containing VIDEO elements, and accepts     arbitrary URLs in a src attribute without a protocol     whitelist in player/lua/ytdl_hook.lua. For example, an     av://lavfi:ladspa=file= URL signifies that the product     should call dlopen on a shared object file located at an     arbitrary local pathname. The issue exists because the     product does not consider that youtube-dl can provide a     potentially unsafe URL. (boo#1077894)

Fixes and minor enhancements :

  - ytdl_hook: whitelist protocols from urls retrieved from     youtube-dl (#5456)

Version 0.27.0 :

Added features :

  - libmpv: options: add a thread-safe way to notify option     updates

  - vd_lavc/vo_opengl: support embedded ICC profiles

  - vo: rendering API abstraction for future non-GL video     outputs

  - vo_opengl: add a gamut warning feature to highlight     out-of-gamut colors (--gamut-warning)

  - vo_opengl: add direct rendering support (--vd-lavc-dr)

  - vo_opengl: implement (faster) compute shader based EWA     kernel

  - vo_opengl: implement HLG OOTF inverse

  - vo_opengl: support HDR peak detection     (--hdr-compute-peak)

  - vo_opengl: support float input pixel formats

  - vo_opengl: support loading custom user textures (#4586)

  - vo_opengl: support user compute shaders Removed features :

  - Remove video equalizer handling from vo_direct3d,     vo_sdl, vo_vaapi, and vo_xv (GPL, not worth the effort     to support legacy VOs) Added options and commands :

  - player: add --track-auto-selection option Changed     options and commands :

  - input: use mnemonic names for mouse buttons, same as Qt:
    https://doc.qt.io/qt-5/qt.html#MouseButton-enum

  - options: change --loop semantics

  - player: make --lavfi-complex changeable at runtime

  - vf_eq: remove this filter (GPL; uses libavfilter&rsquo;s     eq filter now, with changed semantics)

  - video: change --deinterlace behavior

  - vo_opengl: generalize HDR tone mapping to gamut mapping,

    --hdr-tone-mapping &rarr; --tone-mapping Removed options     and commands :

  - --field-dominance (GPL-only author, no chance of     relicensing)

  - input: drop deprecated 'osd' command

  - options: drop --video-aspect-method=hybrid (GPL-only)     Fixes and minor enhancements :

  - TOOLS/autocrop.lua: fix cropdetect black limit for     10-bit videos

  - TOOLS/lua/autodeint: update to lavfi-bridge

  - TOOLS/lua/status-line: improve and update

  - af_lavrresample: don't call swr_set_compensation()     unless necessary (#4716)

  - ao_oss: fix period_size calculation (#4642)

  - ao_rsound: allow setting the host

  - audio: fix spdif mode

  - filter_kernels: correct spline64 kernel

  - options: fix --include (#4673)

  - player: fix --end with large values (#4650)

  - player: fix confusion in audio resync code (#4688)

  - player: make refresh seeks slightly more robust (#4757)

  - player: readd smi subtitle extension (#4626)

  - vd_lavc: change auto-probe order to prefer cuda over     vdpau-copy

  - vd_lavc: fix device leak with copy-mode hwaccels (#4735)

  - vd_lavc: fix hwdec compatibility with yuvj420p formats

  - vd_lavc: fix mid-stream hwdec fallback

  - vf_vapoursynth: fix inverted sign and restore 10 bit     support (#4720)

  - video: increase --monitorpixelaspect range

  - vo_opengl: adjust the rules for linearization (#4631)

  - vo_opengl: scale deband-grain to the signal range

  - vo_opengl: tone map on the maximum signal component

  - x11: fix that window could be resized when using     embedding (#4784)

  - ytdl_hook: resolve relative paths when joining segment     urls (#4827)

  - ytdl_hook: support fragments with relative paths, fixes     segmented DASH

Version 0.26.0 :

  - Built-in V4L TV support is disabled by default.
    av://v4l2 can be used instead.

  - Support for C plugins is now enabled by default (#4491).

  - Many more parts of the player are now licensed under     LGPL, see Copyright file.

Added features :

  - csputils: implement sony s-gamut

  - vo_opengl: add new HDR tone mapping algorithm (mobius,     now default)

  - vo_opengl: hwdec_cuda: Support separate decode and     display devices

  - vo_opengl: implement sony s-log1 and s-log2 trc

  - vo_opengl: implement support for OOTFs and non-display     referred content

Removed features :

  - vf_dlopen: remove this filter

Added options and commands :

  - vo_opengl: add --tone-mapping-desaturate

  - vo_opengl: support tone-mapping-param for `clip`

  - ytdl_hook: add option to exclude URLs from being parsed

Changed options and commands :

  - allow setting profile option with libmpv

  - audio: move replaygain control to top-level options

  - external_files: parse ~ in --(sub,audio)-paths

  - options: change --sub-fix-timing default to no (#4484)

  - options: expose string list actions for --sub-file     option

  - options: slight cleanup of --sub-ass-style-override

  + signfs &rarr; scale

  + --sub-ass-style-override &rarr; --sub-ass-override

  - renamed the HDR TRCs `st2084` and `std-b67` to `pq` and     `hlg` respectively

  - replace vf_format's `peak` suboption by `sig-peak`,     which is relative to the reference white level instead     of in cd/m^2

  - the following options change to append-by-default (and     possibly separator): --script

  - video: change --video-aspect-method default value to     `container`

Deprecated options and commands :

  - m_option: deprecate multiple items for -add etc.

  - player: deprecate 'osd' command

  - --audio-file-paths => --audio-file-path

  - --sub-paths => --sub-file-path

  - --opengl-shaders => --opengl-shader

  - --sub-paths => --sub-file-paths

  - the following options are deprecated for setting via API :

  + 'script' (use 'scripts')

  + 'sub-file' (use 'sub-files')

  + 'audio-file' (use 'audio-files')

  + 'external-file' (use 'external-files') (the     compatibility hacks for this will be removed after this     release)

Removed options and commands :

  - chmap: remove misleading 'downmix' channel layout name     (#4545)

  - demux_lavf: remove --demuxer-lavf-cryptokey option     (#4579)

  - input.conf: drop TV/DVB bindings

  - options: remove remaining deprecated audio device     selection options

  + --alsa-device

  + --oss-device

  + --coreaudio-exclusive

  + --pulse-sink

  + --rsound-host/--rsound-port

  + --ao-sndio-device

  + --ao-wasapi-exclusive

  + --ao-wasapi-device

  - remove option --target-brightness

  - remove property 'video-params/nom-peak'

Fixes and minor enhancements :

  - TOOLS/lua/autoload.lua: actually sort files case     insensitive (#4398)

  - TOOLS/lua/autoload.lua: ignores all files starting with     '.'

  - ao_pulse: reorder format choice to prefer float and S32     over S16 as fallback format

  - command: add missing change notification for     playlist-shuffle (#4573)

  - demux_disc: fix bluray subtitle language retrieval     (#4611)

  - demux_mkv: fix alpha with vp9 + libvpx

  - demux_mkv: support FFmpeg A_MS/ACM extensions

  - ipc-unix: don&rsquo;t truncate the message on EAGAIN     (#4452)

  - ipc: raise json nesting limit (#4394)

  - mpv_identify: replace deprecated fps property (#4550)

  - options/path: fallback to USERPROFILE if HOME isn't set

  - player: close audio device on no audio track

  - player: fix potential segfault when playing dvd:// with     DVD disabled (#4393)

  - player: prevent seek position to jump around adjacent     keyframes, e.g. when dragging the OSC bar on short     videos (#4183)

  - vo_opengl: bump up SHADER_MAX_HOOKS and     MAX_TEXTURE_HOOKS to 64

  - vo_opengl: correct off-by-one in scale=oversample

  - vo_opengl: do not use vaapi-over-GLX (#4555)

  - vo_opengl: fall back to ordered dither instead of     blowing up (#4519)

  - vo_opengl: tone map in linear XYZ instead of RGB

  - x11: add 128x128 sized icon support

  - ytdl_hook: add a header to support geo-bypass

  - ytdl_hook: don't override start time set by saved state

  - ytdl_hook: don't override user-set start time

  - ytdl_hook: treat single-entry playlists as a single     video

  - gen: make output reproducible by ensuring stable output     of pairs() by wrapping it where it matters. (Closes #18)     version 3.3.15

  - Fix af/vf filter argument expansion (#15)

  - Remove some invalid suggestions for some options (#14)

  - Recognize all --profile-style options as such and     complete them version 3.3.14

  - Reflect changed --list-options output for --vf-add-style     options

  - Let mpv own /etc/mpv/scripts as a ghost dir so other     packages can create it and install scripts there.

It was discovered that mpv, a media player, was vulnerable to remote code execution attacks. An attacker could craft a malicious web page that, when used as an argument in mpv, could execute arbitrary code in the host of the mpv user.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - mpv through 0.28.0 allows remote attackers to execute arbitrary code via a crafted web site, because it     reads HTML documents containing VIDEO elements, and accepts arbitrary URLs in a src attribute without a     protocol whitelist in player/lua/ytdl_hook.lua. For example, an av://lavfi:ladspa=file= URL signifies that     the product should call dlopen on a shared object file located at an arbitrary local pathname. The issue     exists because the product does not consider that youtube-dl can provide a potentially unsafe URL.
    (CVE-2018-6360)

Note that Nessus relies on the presence of the package as reported by the vendor.

このmpvの更新では、以下の問題を修正します：

MPVはバージョン0.27.2に更新済みです

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2018-6360：mpvでは、VIDEO要素を含むHTMLドキュメントを読み取り、player/lua/ytdl_hook.luaのプロトコルホワイトリストがなくてもsrc属性の任意のURLを受け入れるため、リモートの攻撃者が細工されたWebサイトを使用して任意のコードを実行することが可能でした。たとえば、av：//lavfi：ladspa=file= URLを使うと、その製品は、任意のローカルパス名の共有オブジェクトファイルでdlopenを呼び出します。この問題が生じるのは、youtube-dlが安全でないURLを提供する可能性があることが考慮されていないためです。（boo#1077894）

修正および軽微な拡張機能：

  - ytdl_hook：字幕URLもホワイトリストに登録します（#5456）

MPVはバージョン0.27.1に更新済みです

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2018-6360：mpvでは、VIDEO要素を含むHTMLドキュメントを読み取り、player/lua/ytdl_hook.luaのプロトコルのホワイトリストがなくてもsrc属性の任意のURLを受け入れるため、リモートの攻撃者が細工されたWebサイトを使用して任意のコードを実行することが可能でしたたとえば、av：//lavfi：ladspa=file= URLを使うと、その製品は、任意のローカルパス名の共有オブジェクトファイルでdlopenを呼び出します。この問題が生じるのは、youtube-dlが安全でないURLを提供する可能性があることが考慮されていないためです。（boo#1077894）

修正および軽微な拡張機能：

  - ytdl_hook：youtube-dlから取り出したurlからのプロトコルをホワイトリストに登録します（#5456）

バージョン 0.27.0：

追加機能：

  - libmpv：オプション：オプションの更新を通知するスレッドセーフな方法を追加します

  - vd_lavc/vo_opengl：埋め込みICCプロファイルをサポートします

  - vo：将来の非GL動画出力用のAPI抽象化レンダリング

  - vo_opengl：全色域をハイライトする色域警告機能を追加します（--gamut-warning）

  - vo_opengl：ダイレクトレンダリングサポートを追加します（--vd-lavc-dr）

  - vo_opengl：（より高速な）計算シェーダーベースのEWAカーネルを実装します

  - vo_opengl：HLG OOTF逆行列を実装します

  - vo_opengl：HDRピーク検出をサポートします（--hdr-compute-peak）

  - vo_opengl：浮動入力ピクセル形式をサポートします

  - vo_opengl：カスタムユーザーテクスチャのロードをサポートします（#4586）

  - vo_opengl：ユーザー計算シェーダーの削除された機能をサポートします：

  - vo_direct3d、vo_sdl、vo_vaapi、およびvo_xvからビデオイコライザー処理を削除（GPL、レガシーVOをサポートする価値はありません）します。オプションとコマンドが追加されました：

  - player：--track-auto-selection オプションを追加します。オプションとコマンドが変更されました：

  - input：Qtと同じく、マウスボタンにニーモニック名を使用します：
    https://doc.qt.io/qt-5/qt.html#MouseButton-enum

  - options：--loopのセマンティクスを変更します

  - player：--lavfi-complexにしますランタイムで変更可能です

  - vf_eq：このフィルターを削除します（GPL。セマンティクスが変更され、libavfilterのeqフィルターを使用するようになります）

  - video：変更 --deinterlaceの動作

  - vo_opengl：HDRトーンマッピングを色域マッピングに一般化します

    --hdr-tone-mapping→ --tone-mappingオプションおよびコマンドが削除されました：

  - --field-dominance（GPLのみの著者、再ライセンスの可能性なし）

  - input：非推奨の「osd」コマンドをドロップします

  - options：--video-aspect-method=hybrid（GPLのみ）修正および軽微な拡張機能：

  - TOOLS/autocrop.lua：10ビットの動画に対するトリミング検出のブラックリミットを修正します

  - TOOLS/lua/autodeint：lavfi-bridgeへの更新

  - TOOLS/lua/status-line：改善および更新

  - af_lavrresample：必要な場合を除きswr_set_compensation()を呼び出すことはありません（#4716）

  - ao_oss：period_sizeの計算を修正します（#4642）

  - ao_rsound：ホストの設定を許可します

  - audio：spdifモードを修正します

  - filter_kernels：spline64カーネルを修正します

  - options：--include（#4673）を修正します

  - player：大きな値で--endを修正します（#4650）

  - player：オーディオ再同期コード内の混乱を修正します（#4688）

  - player：更新により堅牢度が若干高くなるようにします（#4757）

  - player：readd smiの字幕拡張（#4626）

  - vd_lavc：vdpau-copyよりもcudaを優先するように自動プローブの順序を変更します

  - vd_lavc：コピーモードのhwaccelsによるデバイス漏洩を修正します（#4735）

  - vd_lavc：hvdecのyuvj420pフォーマットとの互換性を修正します

  - vd_lavc：mid-stream hwdecフォールバックを修正します

  - vf_vapoursynth：反転符号を修正し、10ビットサポートを復元します（#4720）

  - video：--monitorpixelaspect範囲を拡大します

  - vo_opengl：線形化のためのルールを調整します（#4631）

  - vo_opengl：deband-grainを信号範囲に拡大します

  - vo_opengl：最大信号コンポーネントのトーンマップ

  - x11：埋め込みを使用する場合、ウィンドウのサイズが変更される可能性を修正します（#4784）

  - ytdl_hook：セグメントURLを結合する場合、相対パスを解決します（#4827）

  - ytdl_hook：相対パスでフラグメントをサポートし、セグメント化されたDASHを修正します

バージョン 0.26.0：

  - ビルトインV4L TVサポートはデフォルトで無効になっています。
    av：代わりに、//v4l2を使用できます。

  - Cプラグインのサポートが、デフォルトで有効になりました（#4491）。

  - これまでより多くのプレーヤーのパーツがLGPLでライセンス化されています。著作権ファイルを参照してください。

追加機能：

  - csputils：sony s-gamutを実装します

  - vo_opengl：新しいHDRトーンマッピングアルゴリズムを追加します（mobius、現在はデフォルト）

  - vo_opengl：hwdec_cuda：別個のデコードとディスプレイデバイスをサポートします

  - vo_opengl：sony s-log1およびs-log2 trcを実装します

  - vo_opengl：OOTFおよび非表示参照コンテンツのサポートを実装します

機能が削除されました：

  - vf_dlopen：このフィルターを削除します

オプションおよびコマンドが追加されました：

  - vo_opengl：--tone-mapping-desaturateを追加します

  - vo_opengl：「clip」に対してtone-mapping-paramをサポートします

  - ytdl_hook：URLを解析から除外するオプションを追加します

オプションおよびコマンドが変更されました：

  - libmpvを使用したプロファイルオプションの設定を許可します

  - audio：replaygain制御をトップレベルのオプションに移動します

  - external_files：--(sub,audio)-pathsの~を解析します

  - options：--sub-fix-timingのデフォルトをnoに変更します（#4484）

  - options：--sub-fileオプションの文字列リストアクションが漏洩します

  - options：--sub-ass-style-overrideのわずかなクリーンアップ 

  + signfs → スケール

  + --sub-ass-style-override→ --sub-ass-override

  - HDR TRCの「st2084」および「std-b67」の名前がそれぞれ「pq」および「hlg」に変更されました

  - vf_formatの「peak」サブオプションを「sig-peak」に置換します。これは、cd/m^2単位の代わりにリファレンス白レベルに関連しています

  - 以下のオプションは、append-by-default（および場合によってはセパレータ）に変更されます： --script

  - video：--video-aspect-methodデフォルト値を「コンテナ」に変更します

オプションおよびコマンドを非推奨にします：

  - m_option：-addなどに対して複数の項目を非推奨にします

  - player：「osd」コマンドを非推奨にします

  - --audio-file-paths => --audio-file-path

  - --sub-paths => --sub-file-path

  - --opengl-shaders => --opengl-shader

  - --sub-paths => --sub-file-paths

  - API経由の設定では、以下のオプションが非推奨になりました：

  +「script」（「scripts」を使用します）

  +「sub-file」（「sub-files」を使用します）

  +「audio-file」（「audio-files」を使用します）

  +「external-file」（「external-files」を使用します）（これに対する互換性ハックは、このリリース後に削除されます）

オプションおよびコマンドが削除されました：

  - chmap：誤解を招く「downmix」チャンネルレイアウト名を削除します（#4545）

  - demux_lavf：--demuxer-lavf-cryptokeyオプションを削除します（#4579）

  - input.conf：TV/DVBバインディングをドロップします

  - options：残りの非推奨オーディオデバイス選択オプションを削除します

  + --alsa-device

  + --oss-device

  + --coreaudio-exclusive

  + --pulse-sink

  + --rsound-host/--rsound-port

  + --ao-sndio-device

  + --ao-wasapi-exclusive

  + --ao-wasapi-device

  - オプション--target-brightnessを削除します

  - プロパティ「video-params / nom-peak」を削除します

修正および軽微な拡張機能：

  - TOOLS/lua/autoload.lua：実際にファイルを大文字小文字を区別してソートします（#4398）

  - TOOLS/lua/autoload.lua：「.」で始まるすべてのファイルを無視します

  - ao_pulse：フォーマットの選択を、フォールバックフォーマットとしてフロートおよびS32をS16に優先するように並べ替えます

  - command：playlist-shuffleに欠落した変更通知を追加します（#4573）

  - demux_disc：blulay字幕言語の取得を修正します（#4611）

  - demux_mkv：vp9 + libvpxを使用してアルファを修正します

  - demux_mkv：FFmpeg A_MS/ACM拡張をサポートします

  - ipc-unix：EAGAINのメッセージを切り捨てません（#4452）

  - ipc：jsonのネスト制限を引き上げます（#4394）

  - mpv_identify：非推奨のFPSプロパティを置き換えます（#4550）

  - options/path：HOMEが設定されていない場合、USERPROFILEにフォールバックします

  - player：オーディオのないトラックでオーディオデバイスを閉じます

  - player：DVDを無効にして、dvd：//再生時の潜在的なセグメンテーション違反を修正します（#4393）

  - player：短い動画でOSCバーをドラッグする場合など、検索位置が隣接するキーフレームの周りでジャンプするのを防ぎます（#4183）

  - vo_opengl：SHADER_MAX_HOOKSおよびMAX_TEXTURE_HOOKSを64に更新します

  - vo_opengl：off-by-one inを修正しますscale=oversample

  - vo_opengl：vaapi-over-GLXを使用しません（#4555）

  - vo_opengl：ブローアップする代わりに、順序付けられたディザーにフォールバックします（#4519）

  - vo_opengl：RGBではなくリニアXYZのトーンマップ

  - x11：128x128サイズのアイコンのサポートを追加します

  - ytdl_hook：geo-bypassをサポートするためのヘッダーを追加します

  - ytdl_hook：保存状態によって設定された開始時間をオーバーライドしません

  - ytdl_hook：ユーザー設定の開始時間をオーバーライドしません

  - ytdl_hook：単一エントリのプレイリストを単一のビデオとして処理します

  - gen：pairs()の出力を大切な場所でラッピングすることで安定させ、出力を再現可能にします。（#18をクローズします）バージョン3.3.15

  - AF/VFフィルター引数拡張を修正します（#15）

  - 一部のオプションに対する一部の無効な提案を削除します（#14）

  - すべての--profile-styleオプションをそのまま認識し、バージョン3.3.14として完成させます。

  - 変更された--list-options出力を--vf-add-styleオプションに反映させます

  - mpvに/etc/mpv/scriptsをghost dirとして所有させ、他のパッケージがこれを作成し、そこにスクリプトをインストールできるようにします。

mpv開発者による報告：

0.28.0までのmpvでは、VIDEO要素を含むHTMLドキュメントを読み取り、player/lua/ytdl_hook.luaのプロトコルのホワイトリストがなくてもsrc属性の任意のURLを受け入れるため、リモートの攻撃者が細工されたWebサイトを使って任意のコードを実行する可能性があります。たとえば、av: //lavfi：ladspa=file= URLを使うと、その製品は、任意のローカルパス名の共有オブジェクトファイルでdlopenを呼び出します。
この問題が生じるのは、youtube-dlが安全でないURLを提供する可能性があることが考慮されていないためです。

メディアプレーヤーであるmpvが、リモートコード実行攻撃に脆弱であることが判明しました。攻撃者が、悪意のあるWebページを細工する可能性があります。これをmpvで引数として使用すると、mpvユーザーのホストで任意のコードが実行される可能性があります。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - mpv から 0.28.0 により、リモートの攻撃者は、細工された Web サイトを通じて任意のコードを実行できます。これは、VIDEO 要素を含む HTML ドキュメントを読み込み、player/lua/ytdl_hook.lua のプロトコルホワイトリストなしで src 属性内の任意の URL を受け入れるためです。たとえば、av://lavfi:ladspa=file= URL は、製品が任意のローカルパス名にある共有オブジェクトファイルで dlopen を呼び出す必要があることを示しています。この問題が生じるのは、youtube-dlが安全でないURLを提供する可能性があることが考慮されていないためです。
    (CVE-2018-6360)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

發現媒體播放器 mpv 容易受到遠端程式碼執行攻擊。攻擊者可特製一個惡意網頁，若 mpv 中使用該網頁作為引數，攻擊者即可藉此在 mpv 使用者的主機中執行任意程式碼。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - mpv 到 0.28.0 允許遠端攻擊者透過特製的網站執行任意程式碼因為該網站會讀取含有 VIDEO 元素的 HTML 文件並接受沒有 player/lua/ytdl_hook.lua 中通訊協定白名單的 src 屬性中的任意 URL。例如av://lavfi:ladspa=file= URL 表示產品應對位於任意本機路徑名稱的共用物件檔案呼叫 dlopen。此問題之所以存在是因為產品未考量到 YouTube-dl 可能會提供可能不安全的 URL。
    (CVE-2018-6360)

請注意，Nessus 依賴供應商報告的套件存在。

已发现媒体播放器 mpc 容易受到远程代码执行攻击。攻击者可特制一个恶意网页，当其用作 mpv 中的参数时，可在 mpv 用户的主机上执行任意命令。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mpv 至 0.28.0 允许远程攻击者通过构建的网站执行任意代码因为它会读取包含 VIDEO 元素的 HTML 文档并且接受 src 属性中的任意 URL而无 player/lua/ytdl_hook.lua 中协议白名单的情况。例如av://lavfi:ladspa=file= URL 表示产品应对位于任意本地路径名的共享对象文件上调用 dlopen。存在此问题的原因是该产品未考虑到 youtube-dl 可以提供可能不安全的 URL。
    (CVE-2018-6360)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
109806	GLSA-201805-05：mpv：リモートコード実行	Nessus	Gentoo Local Security Checks	2018/5/15	2024/10/8	high
109806	GLSA-201805-05 : mpv: Remote code execution	Nessus	Gentoo Local Security Checks	2018/5/15	2024/10/8	high
109806	GLSA-201805-05 : mpv：遠端程式碼執行	Nessus	Gentoo Local Security Checks	2018/5/15	2024/10/8	high
109806	GLSA-201805-05 : mpv：远程代码执行	Nessus	Gentoo Local Security Checks	2018/5/15	2024/10/8	high
106734	FreeBSD : mpv -- arbitrary code execution via crafted website (3ee6e521-0d32-11e8-99b0-d017c2987f9a)	Nessus	FreeBSD Local Security Checks	2018/2/12	2018/11/10	high
106891	openSUSE Security Update : mpv (openSUSE-2018-173)	Nessus	SuSE Local Security Checks	2018/2/20	2021/1/19	high
106660	Debian DSA-4105-1 : mpv - security update	Nessus	Debian Local Security Checks	2018/2/8	2018/11/13	high
254496	Linux Distros Unpatched Vulnerability : CVE-2018-6360	Nessus	Misc.	2025/8/25	2025/8/25	high
106891	openSUSEセキュリティ更新プログラム：mpv（openSUSE-2018-173）	Nessus	SuSE Local Security Checks	2018/2/20	2021/1/19	high
106734	FreeBSD: mpv -- 細工されたWebサイトによる任意コード実行（3ee6e521-0d32-11e8-99b0-d017c2987f9a）	Nessus	FreeBSD Local Security Checks	2018/2/12	2018/11/10	high
106660	Debian DSA-4105-1: mpv - セキュリティの更新	Nessus	Debian Local Security Checks	2018/2/8	2018/11/13	high
254496	Linux Distros のパッチ未適用の脆弱性: CVE-2018-6360	Nessus	Misc.	2025/8/25	2025/8/25	high
106660	Debian DSA-4105-1：mpv - 安全性更新	Nessus	Debian Local Security Checks	2018/2/8	2018/11/13	high
254496	Linux Distros 未修補的弱點：CVE-2018-6360	Nessus	Misc.	2025/8/25	2025/8/25	high
106660	Debian DSA-4105-1：mpv - 安全更新	Nessus	Debian Local Security Checks	2018/2/8	2018/11/13	high
254496	Linux Distros 未修补的漏洞：CVE-2018-6360	Nessus	Misc.	2025/8/25	2025/8/25	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high