CVE-2020-37050: Estouro de buffer no Quick Player via arquivo .m3l malicioso
A CVE-2020-37050 descreve um estouro de buffer no Quick Player 1.3 que pode ser acionado ao carregar um arquivo .m3l especialmente construído, segundo a descrição do registro. A CNA VulnCheck atribui pontuação CVSS 3.1 de 9,8 (crítica) e o registro associa a falha ao CWE-120. Não há listagem no catálogo KEV da CISA e o registro não traz dados de versões afetadas ou corrigidas.
Visão geral
A CVE-2020-37050 afeta o Quick Player 1.3 e é classificada como estouro de buffer clássico (CWE-120). O registro descreve execução arbitrária de código por meio de um arquivo .m3l especialmente construído, carregado pela aplicação. A entrada foi publicada em 30/01/2026, com a CNA disclosure@vulncheck.com e status de origem registrado como Deferred.
Impacto
- O registro informa que a falha pode permitir execução arbitrária de código, potencialmente remota.
- O vetor CVSS 3.1 divulgado pela VulnCheck, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, corresponde à pontuação base de 9,8. Ele indica acesso pela rede, baixa complexidade, ausência de privilégios exigidos e ausência de interação do usuário.
- Também consta a pontuação base CVSS 4.0 de 8,4, fornecida pelo mesmo provedor.
Produtos e versões afetados
- O registro cita o Quick Player 1.3. A lista estruturada de afetados está vazia, então o intervalo completo de versões vulneráveis é desconhecido.
- Não há versão corrigida informada. A ausência desse dado no registro não significa que não exista correção.
Status de exploração
- A entrada não consta como listada no catálogo KEV no registro. Não há evidência de exploração confirmada na natureza nas fontes consultadas.
- A lista de referências inclui uma entrada pública no Exploit-DB e postagens arquivadas sobre o produto. Isso mostra que existe material técnico público, mas não confirma exploração contra sistemas reais.
Correção e mitigação
- Identifique todos os sistemas com Quick Player instalado e verifique com o fornecedor ou fonte confiável se há versão atualizada ou suportada.
- Evite abrir arquivos .m3l de origem não confiável, incluindo anexos de e-mail e downloads, até que o software seja atualizado ou removido.
- Se não houver correção disponível, remova a aplicação ou restrinja o uso a sistemas isolados.
- Execute a aplicação com o menor privilégio possível e use listas de permissão de aplicações para limitar execuções a partir de diretórios graváveis pelo usuário.
Orientações de detecção
- Monitore processos do Quick Player que iniciem processos filhos inesperados ou façam conexões de rede incomuns.
- Registre o recebimento e a abertura de arquivos .m3l vindos de e-mail e de downloads.
- Analise os logs dos endpoints em busca de falhas inesperadas da aplicação, que podem indicar tratamento inadequado de entradas malformadas.
Limitações das informações disponíveis
- O registro não inclui o conteúdo de avisos do fornecedor, intervalos de versões afetadas ou corrigidas, nem os detalhes de build necessários para confirmar a exposição.
- Dados de EPSS e SSVC não estão disponíveis no registro.
- O motivo do status Deferred não é informado.
Perguntas frequentes
A CVE-2020-37050 é explorada ativamente?
O registro não indica inclusão no KEV, portanto não há exploração confirmada na natureza nas fontes consultadas. Existem referências públicas, mas elas não confirmam ataques.
Qual versão é afetada e existe correção?
O registro cita o Quick Player 1.3, mas não informa intervalo afetado nem versão corrigida. Verifique com o fornecedor ou fonte confiável se há versão atualizada e trate a exposição como risco até confirmação.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.