Podatności FFmpeg

Nieokreślona podatność w FFmpeg przed wersją 0.10.3, która ma nieznany wpływ i wektory ataku. Jest to inna podatność niż CVE-2012-2771, CVE-2012-2773, CVE-2012-2780 i CVE-2012-2781.

Nieokreślona podatność w FFmpeg przed wersją 0.10.3, która ma nieznany wpływ i wektory ataku. Jest to inna podatność niż CVE-2012-2771, CVE-2012-2778, CVE-2012-2780 i CVE-2012-2781.

Nieokreślona podatność w FFmpeg przed wersją 0.10.3, której wpływ i wektory ataku są nieznane. Jest to inna podatność niż CVE-2012-2773, CVE-2012-2778, CVE-2012-2780 i CVE-2012-2781.

FFmpeg przed 23 stycznia 2017 roku zawiera błąd związany z zapisem poza granicami, spowodowany przepełnieniem bufora na stosie w funkcji decode_zbuf w pliku libavcodec/pngdec.c.

FFmpeg przed 24 stycznia 2017 roku zawiera błąd związany z zapisem poza granicami, spowodowany przepełnieniem bufora w pamięci, który dotyczy funkcji ipvideo_decode_block_opcode_0xA w pliku libavcodec/interplayvideo.c oraz funkcji avcodec_align_dimensions2 w pliku libavcodec/utils.c.

FFmpeg przed 2017-02-04 zawiera błąd pisania poza granicami, spowodowany przepełnieniem bufora w stercie, związany z funkcją decode_frame_common w pliku libavcodec/pngdec.c.

FFmpeg przed 2017-02-07 zawiera błąd związany z zapisem poza granicami, spowodowany przepełnieniem bufora w stercie, który dotyczy funkcji decode_frame w pliku libavcodec/pictordec.c.

FFmpeg przed 2017-03-05 zawiera błąd zapisu poza granicami, spowodowany przepełnieniem bufora w stercie, związany z funkcją ff_h264_slice_context_init w pliku libavcodec/h264dec.c.

W FFmpeg przed wersją 2.8.10, 3.0.x przed 3.0.5, 3.1.x przed 3.1.6 oraz 3.2.x przed 3.2.2 występuje przepełnienie bufora w stercie w pliku ffserver.c, co pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez wykorzystanie braku sprawdzania rozmiaru fragmentu.

W bibliotece libavformat/rtmppkt.c w FFmpeg przed wersją 2.8.10, 3.0.x przed 3.0.5, 3.1.x przed 3.1.6 oraz 3.2.x przed 3.2.2 występuje przepełnienie bufora oparte na stercie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez wykorzystanie braku sprawdzania rozmiaru pakietów RTMP.

Przepełnienie całkowite w funkcji mov_build_index w libavformat/mov.c w FFmpeg przed wersją 2.8.8, 3.0.x przed 3.0.3 oraz 3.1.x przed 3.1.1 może umożliwić zdalnym atakującym wywołanie nieokreślonego wpływu poprzez wektory związane z rozmiarem próbki.

FFmpeg w wersjach od 2.3 do 9.0.2 zawiera podatność na użycie niezainicjowanego zasobu w dekoderze Huffyuv, która pozwala ujawnić pamięć sterty w zdekodowanych pikselach przez krótkie strumienie bitowe packed-BGR. Złośliwy plik wideo Huffyuv BGR24/BGRA może spowodować dodanie niezainicjowanych bajtów s->temp[0] do klatek wyjściowych.

FFmpeg w wersjach od 4.4 do 9.0.2 zawiera podatność na użycie niezainicjowanej zmiennej w dekoderze CDXL, która ujawnia pamięć stosu w zdekodowanych pikselach przez niewypełnione wpisy palety HAM. Złośliwy plik CDXL typu 0 może spowodować ujawnienie bajtów stosu i fragmentów wskaźników w wyjściu BGR24.

FFmpeg w wersjach od 0.10 do 9.0.2 zawiera podatność na użycie niezainicjowanego zasobu w funkcji sunrast_decode_frame(), która ujawnia pamięć sterty podczas dekodowania obciętych obrazów Sun Raster z paletą 1-bitową i 4-bitową. Złośliwy obcięty plik Sun Raster może spowodować rozszerzenie nieoczyszczonej mapy bitowej do pikseli PAL8 i ujawnienie pozostałości pamięci sterty.

FFmpeg w wersjach od 2.1 do 9.0.2 zawiera podatność polegającą na użyciu niezainicjalizowanego zasobu w dekoderze PCX. Atakujący może spreparować obraz PCX, którego dane RLE kończą się zbyt wcześnie, powodując kopiowanie niezainicjalizowanej zawartości bufora av_malloc() do widocznych pikseli.

FFmpeg w wersjach od 2.0 do 9.0.2 zawiera podatność polegającą na użyciu niezainicjalizowanej zmiennej w dekoderze Go2Meeting. Atakujący może spreparować strumień G2M3/G2M4 z krótką paletą Kempf, powodując kopiowanie niezainicjalizowanych bajtów stosu, w tym wskaźników lub strażników stosu, do zdekodowanego wyjścia.

FFmpeg w wersjach od 5.0 do 9.0.2 zawiera podatność path traversal w demukserze IMF, która pozwala atakującym otwierać pliki poza pakietem poprzez niezwalidowane elementy Path w ASSETMAP. Atakujący może dostarczyć spreparowany pakiet IMF ze ścieżkami '..' lub bezwzględnymi, aby demuksować lokalne pliki MXF, sprawdzać istnienie i rozmiar plików lub wywoływać żądania po stronie serwera.

W funkcji avpriv_h264_has_num_reorder_frames biblioteki FFmpeg w wersji N-119856-gbe46370941 występuje dereferencja wskaźnika NULL. Atakujący może wywołać odmowę usługi (DoS) poprzez przetwarzanie spreparowanego pliku multimedialnego.

FFmpeg przed wersją 7.1.4 i 8.0.x przed 8.0.2 zawiera podatność na atak SSRF w ff_rtsp_connect() w libavformat/rtsp.c, która podąża za przekierowaniami RTSP 3xx bez walidacji URL Location. Złośliwe serwery RTSP mogą przekierować FFmpeg do wewnętrznych hostów i portów w innych schematach, omijając -protocol_whitelist, w celu sondowania wewnętrznych usług sieciowych.

FFmpeg przed wersją 8.1.3 zawiera błąd mechanizmu ochrony w demuxerze HLS, który pozwala atakującym ominąć ograniczenia protokołów i dozwolonych rozszerzeń podczas otwierania podrzędnych playlist. Atakujący mogą dostarczyć spreparowaną playlistę główną, której podrzędne playlisty używają niedozwolonych protokołów lub lokalnych plików niebędących multimediami, co powoduje, że parse_playlist() otwiera zasoby, które polityka bezpieczeństwa HLS powinna blokować.

FFmpeg do wersji 9.0.2 zawiera podatność na nieskończoną pętlę w ff_rtsp_connect() w libavformat/rtsp.c, która podąża za przekierowaniami RTSP 3xx bez żadnego limitu przekierowań. Atakujący kontrolujący serwer RTSP mogą odpowiadać na każde żądanie przekierowaniem 302 do siebie lub innego serwera, powodując niekończące się ponowne połączenia, które przeciążają rdzeń procesora.

FFmpeg przed wersją 8.1.3 zawiera podatność na nieskończoną pętlę w demuxerze HLS, która pozwala zdalnym atakującym spowodować denial of service, ponieważ parse_playlist() akceptuje tagi Master Playlist wewnątrz Media Playlists. Atakujący mogą nakłonić ofiary do otwarcia spreparowanej samoodnoszącej się playlisty, która nieskończenie dodaje warianty w hls_read_header(), powodując nieograniczone zużycie CPU i I/O.

FFmpeg do wersji 9.0.2 zawiera podatność na wyczerpanie stosu w funkcji av_encryption_init_info_free() w libavutil/encryption_info.c, która rekurencyjnie zwalnia listy powiązane AVEncryptionInitInfo budowane przez demuxer MOV w mov_read_pssh(). Atakujący może dostarczyć spreparowany plik MP4 z dziesiątkami tysięcy małych pudełek pssh, aby wyczerpać stos i spowodować awarię procesu, a także kwadratowe zużycie CPU.

FFmpeg do wersji 9.0.2 zawiera podatność na nieskończoną pętlę w demuxerze DASH, która pozwala atakującym na wywołanie nieskończonej pętli poprzez dostarczenie pustego SegmentTemplate media URL. Atakujący mogą stworzyć manifest .mpd deklarujący SegmentTemplate media="", aby get_current_fragment() wywołał av_strireplace() z pustym ciągiem wyszukiwania, zużywając CPU bez końca.

FFmpeg do wersji 9.0.2 zawiera podatność ujawnienia niezainicjalizowanej pamięci w funkcji av_dynamic_hdr_plus_to_t35(), która pozostawia do trzech bajtów ładunku niezainicjalizowanych, gdy flaga tone_mapping_flag ma wartość 0. Atakujący może dostarczyć spreparowane metadane Matroska T.35 BlockAdditional lub HEVC/AV1 SEI, tak aby remuxing lub transkodowanie zapisało wyciekłą pamięć procesu do plików wyjściowych.

FFmpeg do wersji 9.0.2 zawiera brak weryfikacji klucza hosta w handlerze protokołu sftp opartym na libssh, co pozwala atakującym sieciowym na podszywanie się pod serwery SFTP. Atakujący przeprowadzający atak man-in-the-middle, podszywanie DNS lub ARP mogą przechwycić hasła podawane w adresach URL sftp, dostarczać sfałszowane media lub odbierać przesłane pliki.

FFmpeg w wersjach przed 8.1.3 oraz 9.x przed 9.0.2 zawiera podatność nieprawidłowej walidacji certyfikatu w funkcji tls_open() w pliku libavformat/tls_mbedtls.c, która pomija sprawdzanie nazwy hosta dla adresów IP. Atakujący w sieci może przechwycić połączenia https, rtmps lub tls do adresów URL z literałem IP przy użyciu dowolnego certyfikatu wystawionego przez zaufane CA, aby odczytywać i modyfikować strumienie.

FFmpeg przed wersją 9.0 ma podatność na przepełnienie liczby całkowitej ze znakiem w libavformat/mov.c. W funkcji mov_read_ispe() wartości uint32_t width/height z spreparowanego boxa HEIF ispe są zapisywane do pól typu signed int bez sprawdzania zakresu, co pozwala wartościom przekraczającym INT_MAX stać się ujemnymi. W read_image_grid() akumulacja tych wartości powoduje przepełnienie liczby całkowitej ze znakiem (niezdefiniowane zachowanie wg C17 sekcja 6.5), które na x86 zawija się do małej dodatniej wartości, omijając dalsze kontrole poprawności.

W FFmpeg 8.0.x wykryto podatność w funkcji parse_playlist w pliku libavformat/hlsproto.c (komponent Duration Parser). Manipulacja argumentem duration/target_duration prowadzi do odmowy usługi, możliwej do wywołania zdalnie.

W FFmpeg do wersji 4.4.6/5.1.8/6.1.4/7.1.3/8.0.1 występuje podatność w funkcji setup_3x3 w pliku libavfilter/vf_convolution.c (komponent Convolution Filter). Prowadzi ona do odczytu poza granicami bufora, a exploit został publicznie ujawniony.

FFmpeg przed wersją 9.0 ma podatność out-of-bounds read, ponieważ extradata w ścieżce parsowania MOV w funkcji mov_read_iacb w libavformat/mov.c jest niewystarczająco wypełnione.

FFmpeg przed wersją 9.0 ma podatność out-of-bounds read z powodu braku wymaganego wypełnienia w ścieżkach alokacji extradata WMA w libavcodec/wmaenc.c.

Podatność na uszkodzenie pamięci istnieje w FFmpeg przed wersją 8.1 w procesie kodowania RTP. W funkcji nal_send w libavformat/rtpenc_h264_hevc.c, ujemny parametr rozmiaru (size=-3) jest przekazywany do memcpy podczas przesyłania strumieni H.264/HEVC przez RTP przy użyciu spreparowanego pliku wejściowego. Wykryto to za pomocą AddressSanitizer.

FFmpeg przed wersją 9.0 ma podatność out-of-bounds read, ponieważ skopiowane extradata nie miało wymaganego wypełnienia przed dostępem opartym na GetBitContext w libavformat/iamf_writer.c.

W FFmpeg znaleziono błąd w funkcji tdsc_load_cursor(), która zapisuje poza granice bufora przydzielonego na stercie podczas przetwarzania spreparowanych danych kursora TDSC. Zdalny atakujący może wykorzystać to przez dostarczenie specjalnie spreparowanego pliku wideo, co może prowadzić do odmowy usługi lub wykonania dowolnego kodu.

Przepełnienie liczby całkowitej w funkcji target_sws_fuzzer() w libswscale/output.c w FFmpeg N-122528-gdd2976b9e1 pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego wejścia.

Przepełnienie liczby całkowitej w funkcji hScale16To19_c() w libswscale/output.c w FFmpeg N-122528-gdd2976b9e1 pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego pliku obrazu.

Przepełnienie liczby całkowitej w komponencie libswscale/utils.c w FFmpeg N-122528-gdd2976b9e1 pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego pliku obrazu.

Przepełnienie sterty w funkcji ff_sws_alphablendaway (libswscale/alphablend.c) w FFmpeg git-master commit 722a217 pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez spreparowane wejście.

Przepełnienie liczby całkowitej w funkcji yuv2planeX_8_c() w libswscale/output.c w FFmpeg N-122528-gdd2976b9e1 pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego pliku wideo.

Podatność dzielenia przez zero w funkcji ff_sws_init_single_context w /libswscale/utils.c w FFmpeg N-122528-gdd2976b9e1 pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez spreparowane wejście.

Odwołanie do wskaźnika NULL w funkcji get_min_buffer_size w /libswscale/slice.c w FFmpeg N-122528-gdd2976b9e1 pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego pliku wideo.

W komponencie libavfilter/vf_scale.c biblioteki FFmpeg (wersja N-122528-gdd2976b9e1) występuje przepełnienie liczby całkowitej. Atakujący może wykorzystać tę podatność, dostarczając specjalnie spreparowany plik wideo, co prowadzi do odmowy usługi (DoS).

FFmpeg przed commit 983dae9 zawiera podatność odczytu poza zakresem w pakieteryzatorze RTP dla AV1 (libavformat/rtpenc_av1.c). Pętla wykrywająca klatki kluczowe, która szuka nagłówka sekwencji OBU, przesuwa wskaźnik i licznik pozostałego rozmiaru o długość zakodowanego nagłówka plus rozmiar ładunku OBU bez wcześniejszego ograniczenia rozmiaru OBU względem pozostałych danych. Specjalnie spreparowany rozmiar OBU powoduje zawinięcie licznika pozostałego rozmiaru do wartości dodatniej, co powoduje, że następna iteracja pętli dereferencjonuje wskaźnik poza końcem bufora pakietu. Spreparowany pakiet wejściowy AV1 multipleksowany do RTP wyzwala odczyt poza zakresem.

FFmpeg przed commit 65b0dab zawiera podatność odczytu poza zakresem w demuxerze DASH (libavformat/dashdec.c). Gdy manifest DASH na żywo jest odświeżany z numerem startNumber niższym niż poprzednia wartość, bieżący numer sekwencji staje się ujemny. Funkcja pobierania fragmentów sprawdzała tylko górną granicę przed indeksowaniem tablicy fragmentów, co pozwalało na użycie ujemnego indeksu i powodowało odczyt poza zakresem. Złośliwy lub źle skonfigurowany serwer DASH może to wywołać, serwując manifest na żywo z malejącym startNumber podczas odświeżania manifestu.

FFmpeg przed commit b4c199c zawiera nieprawidłową konwersję zawężającą liczb całkowitych w pakiecie RTP AV1 (libavformat/rtpenc_av1.c). Rozmiar OBU jest rzutowany na long przed porównaniem z pozostałym rozmiarem ramki. Na platformach, gdzie long ma 32 bity, w tym 64-bitowe Windows, odpowiednio duże wartości rozmiaru OBU są zmieniane znakowo przez zawężającą konwersję, co daje wartość ujemną, która przechodzi kontrolę rozmiaru ładunku. To pozwala na obejście zabezpieczeń przez zbyt duży OBU na dotkniętych platformach, prowadząc do dostępu do pamięci poza zakresem, gdy nadmierna wartość jest następnie używana jako długość kopiowania.

FFmpeg przed commit 1cdeb3c zawiera podatność przepełnienia bufora sterty w pakieteryzatorze RTP dla VC-2/Dirac (libavformat/rtpenc_vc2hq.c), która pozwala atakującym na wywołanie uszkodzenia pamięci poprzez dostarczenie spreparowanej jednostki danych Dirac. Pakieteryzator kopiuje rozmiar jednostki danych lub fragmentu pochodzącego z wejścia do bufora o stałym rozmiarze bez sprawdzenia górnej granicy, co powoduje przepełnienie bufora sterty, gdy spreparowane wejście jest pakieteryzowane do wyjścia RTP.

FFmpeg przed commit 9d786e4 zawiera podatność przepełnienia bufora stosu w multiplekserze MPEG-PS (libavformat/mpegenc.c). Podczas multipleksowania wejścia z większą liczbą strumieni niż mieści się w buforze o stałym rozmiarze na stosie, bufor jest przepełniany. Spreparowane wejście z nadmierną liczbą strumieni wyzwala przepełnienie podczas multipleksowania MPEG-PS.

FFmpeg przed commit acf5d7c zawiera podatność przepełnienia bufora sterty w pisarzu pudełka hvcC. Podczas zapisywania rekordu konfiguracji HEVC z większą liczbą jednostek NAL danego typu niż pole licznika może reprezentować, licznik jednostek NAL przepełnia się, co powoduje przepełnienie bufora sterty. Spreparowany plik wejściowy HEVC wyzwala przepełnienie podczas multipleksowania.

FFmpeg w wersjach od 4.4 do przed 9.0 zawiera podatność zapisu poza zakresem na stercie w natywnym dekoderze GoPro CineForm HD (CFHD), która pozwala zdalnym atakującym na uszkodzenie pamięci sterty poprzez dostarczenie spreparowanego pliku AVI podczas skanowania strumienia. Funkcja cfhd_decode() nie egzekwuje niezmiennika szerokości wyjściowej w ścieżce rekonstrukcji typu transform-2, co powoduje zapis zbyt dużych próbek poza przydzielony bufor, co może eskalować do wykonania kodu.