远程 Ubuntu 16.04 ESM 主机上安装的多个程序包受到 USN-4806-1 公告中提及的多个漏洞影响。

  - 1.25.5 之前的 mpg123 中的 src/libmpg123/getbits.h 中的 getbits 函数中存在基于堆的缓冲区过度读取，远程攻击者可能导致拒绝服务（越界读取）或可能通过特制的 mp3 文件造成未知的其他影响。(CVE-2017-12839)

  - 32 位平台上 1.25.5 之前的 mpg123 中 ID3 解析器中的 INT123_parse_new_id3 函数中存在整数溢出，允许远程攻击者通过特制的文件造成拒绝服务，从而触发基于堆的缓冲区溢出。(CVE-2017-12797)

  - mpg123 1.24.0 中 src/libmpg123/id3.c 中的 next_text 函数允许远程攻击者通过特制的 mp3 文件造成拒绝服务（缓冲区过度读取）。(CVE-2017-9545)

  - 1.25.1 及之前的 mpg123 中的 libmpg123/layer3.c 中的 III_i_stereo 函数允许远程攻击者通过在 block_type != 2 的代码中错误处理的特制音频文件造成拒绝服务（缓冲区过度读取和应用程序崩溃）案例，这是与 CVE-2017-9870 类似的问题。(CVE-2017-11126)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Ubuntu 16.04 ESM：mpg123 漏洞 (USN-4806-1)

high Nessus 插件 ID 183531

版本 1.0