Podatności FFmpeg

W FFmpeg od wersji 0.5 do 9.0 (bez 9.0) występuje podatność na ujawnienie niezainicjalizowanej pamięci sterty w natywnym dekoderze TIFF (libavcodec/tiff.c). Atakujący może dostarczyć spreparowany plik TIFF z prawidłowym strumieniem Deflate, który kończy się sukcesem, ale produkuje mniej bajtów niż zadeklarowano. Funkcja tiff_unpack_zlib() alokuje bufor sterty o rozmiarze pełnego deklarowanego paska, ale kopiuje wszystkie zadeklarowane wiersze przez memcpy(), niezależnie od faktycznej liczby zdekompresowanych bajtów, co powoduje włączenie niezapisanych bajtów z poprzednich alokacji do obrazu wyjściowego.

W FFmpeg od wersji 3.0 do 9.0 (bez 9.0) występuje podatność na odczyt niezainicjalizowanej pamięci sterty w natywnym dekoderze Screenpresso (libavcodec/screenpresso.c). Atakujący może dostarczyć spreparowany pakiet SPV1 z prawidłowym strumieniem zlib, który dekompresuje mniej bajtów niż wymaga pełna klatka. Funkcja screenpresso_decode_frame() nie sprawdza liczby wyprodukowanych bajtów przed wywołaniem av_image_copy_plane(), co powoduje skopiowanie niezapisanej pamięci sterty z bufora ctx->inflated_buf do wyjścia.

W FFmpeg od wersji 3.0 do 9.0 (bez 9.0) występuje podatność na odczyt niezainicjalizowanej pamięci sterty w natywnym dekoderze RSCC (libavcodec/rscc.c). Atakujący może dostarczyć spreparowany plik wideo ze skompresowanym kafelkiem, który dekompresuje mniej bajtów niż wymaga geometria kafelka. Funkcja rscc_decode_frame() wywołuje av_image_copy_plane() bez sprawdzenia liczby zdekompresowanych bajtów, co powoduje skopiowanie niezapisanej części bufora ctx->inflated_buf do klatki wyjściowej.

FFmpeg w wersjach od 0.5 do przed 9.0 zawiera podatność przepełnienia liczby całkowitej ze znakiem w parserze napisów DVB, która pozwala atakującym na wywołanie przepełnienia bufora sterty poprzez dostarczenie spreparowanego pliku WTV. Przepełnienie powoduje zawinięcie wyrażenia kontrolnego do INT_MIN, omijając porównanie PARSE_BUF_SIZE i wywołując memcpy() z kontrolowanymi danymi do bufora sterty, co prowadzi do zapisu poza zakresem i potencjalnego uszkodzenia pamięci lub wykonania kodu.

FFmpeg w wersjach 7.0 do 8.1.2, naprawiony w commicie 4da9812, zawiera podatność na zapis poza zakresem sterty w filtrze vf_quirc. Atakujący może dostarczyć spreparowany plik napisów PGS/SUP z niedopasowanymi wymiarami klatek, powodując kopiowanie danych poza przydzielony bufor, co prowadzi do uszkodzenia sterty i potencjalnego wykonania kodu.

FFmpeg do wersji 8.1.2, naprawiony w commicie b506faf, zawiera podatność na zapis poza zakresem sterty w natywnych koderach PNG i APNG. Atakujący może dostarczyć spreparowany obraz PNG z złośliwym fragmentem eXIf, powodując zapis dziesiątek tysięcy bajtów poza granicę bufora, co prowadzi do uszkodzenia sterty i potencjalnego wykonania kodu.

FFmpeg do wersji 8.1.2, naprawiony w commicie aafb5c6, zawiera podatność na przepełnienie liczby całkowitej ze znakiem w dekoderze audio MACE6. Atakujący może dostarczyć spreparowany plik CAF z złośliwą wartością bytes_per_packet, powodując przepełnienie liczby całkowitej i przydzielenie zbyt małego bufora, co prowadzi do zapisu poza zakresem sterty i potencjalnego wykonania kodu.

FFmpeg do wersji 8.1.2 zawiera podatność na ujawnienie informacji w dekoderze wideo LCL/ZLIB, która pozwala atakującym na odczyt niezainicjalizowanej pamięci sterty poprzez dostarczenie poprawnego strumienia zlib, który dekompresuje się do mniejszej liczby bajtów niż oczekiwany rozmiar ramki. Funkcja zlib_decomp() w lcldec.c traktuje krótką dekompresję jako niekrytyczną i kontynuuje konwersję do RGB24, kopiując pełną ramkę wierszy z bufora alokacji, co powoduje skopiowanie niezainicjalizowanych danych sterty, w tym bajtów alokatora pochodzących ze wskaźników, do wyjścia AVFrame widocznego dla atakującego, potencjalnie omijając ASLR w długotrwałych usługach przetwarzania multimediów.

FFmpeg do wersji 8.1.2 zawiera podatność na niekontrolowane zużycie zasobów w demuxerze IAMF, która pozwala nieuwierzytelnionemu atakującemu na spowodowanie alokacji pamięci rzędu gigabajtów z 17-bajtowego pliku wejściowego poprzez dostarczenie spreparowanego pola count_label. Funkcja mix_presentation_obu() w libavformat/iamf_parse.c wywołuje av_calloc(count_label, sizeof(*language_label)) z wartością kontrolowaną przez atakującego przed walidacją dostępnych danych OBU, co umożliwia amplifikację alokacji wynoszącą około 126 milionów bajtów na bajt wejściowy, wyczerpując pamięć procesu lub powodując OOM-kill podczas próbkowania formatu.

W FFmpeg do wersji 8.1.2 występuje podatność na zapis poza dozwolonym obszarem sterty w filtrze vf_hqdn3d. Atakujący może dostarczyć spreparowane wideo, w którym rozdzielczość klatek wzrasta, a ponowna inicjalizacja filtru jest wyłączona, co prowadzi do uszkodzenia pamięci sterty.

Podatność zapisu poza dozwolonym obszarem pamięci w filtrze wideo vf_swaprect w FFmpeg w wersjach 3.0 do 8.1.2. Atakujący może dostarczyć spreparowaną klatkę NV12 o nieparzystej szerokości, co powoduje uszkodzenie sterty i potencjalne wykonanie kodu.

Podatność w filtrze wideo vf_floodfill w FFmpeg (wersje 3.4 do 8.1.2) powoduje zapis poza dozwolonym obszarem pamięci sterty. Gdy funkcja config_input() alokuje stos na podstawie początkowych wymiarów klatki, a następnie przetwarzana jest większa klatka, funkcja filter_frame() wykonuje operacje wypychania sąsiadów poza pierwotny przydział, co prowadzi do uszkodzenia sterty i potencjalnego wykonania kodu.

Podatność w FFmpeg do wersji 8.1.2 umożliwia zapis poza dozwolonym obszarem pamięci sterty poprzez dostarczenie spreparowanego pliku ffconcat z flagą -safe 0. Funkcja demux_audio() w demuxerze TY zmniejsza rozmiar pakietu bez sprawdzania granic, co prowadzi do ujemnej wartości rozmiaru, która po konwersji na size_t w shorten_decode_frame() powoduje odczyt poza źródłem i zapis poza buforem bitstreamu dekodera Shorten.

FFmpeg w wersjach 2.7 do 8.1.2 zawiera podatność zapisu poza zakresem w dekoderze wideo TDSC, umożliwiającą zdalnemu atakującemu uszkodzenie sterty przez spreparowany plik AVI zmieniający wymiary klatek.

FFmpeg w wersjach 4.4 do 8.1.2 zawiera podatność na odczyt i zapis poza dozwolonym obszarem pamięci w dekoderze ADX. Atakujący może dostarczyć spreparowany plik audio ADX lub AAX ze zmianą układu kanałów w środku strumienia, co powoduje użycie nieaktualnej liczby kanałów i dostęp do pamięci poza zakresem.

FFmpeg w wersjach od 0.6.3 do 8.1.2 zawiera podatność na nieskończoną pętlę w demuxerze RTP/ASF (libavformat/rtpdec_asf.c). Funkcja rtp_asf_fix_header nie sprawdza minimalnego rozmiaru fragmentu podczas iteracji po obiektach ASF, co pozwala zdalnemu atakującemu na wysłanie spreparowanego strumienia RTP/ASF powodującego wyczerpanie CPU i odmowę usługi.

FFmpeg w wersjach 0.7.1 do 8.1.2 zawiera podatność na odczyt poza zakresem w multiplekserze S/PDIF. Atakujący może dostarczyć spreparowany strumień DTS z wartością core_size większą niż rzeczywista długość pakietu, powodując nieautoryzowany odczyt pamięci.

Podatność double-free w dekoderze sprzętowym NVIDIA NVDEC w FFmpeg (wersje 4.4–8.1.2). Atakujący może dostarczyć spreparowany plik wideo, powodując podwójne zwolnienie pamięci kontekstu dekodera.

W FFmpeg w wersjach od 8.0 do 8.1.2 występuje podatność na przepełnienie bufora stosu w dekoderze sprzętowym Vulkan HEVC. Zdalny atakujący może dostarczyć spreparowany strumień HEVC/H.265, który zawiera złośliwą wartość vps_num_hrd_parameters przekraczającą HEVC_MAX_SUB_LAYERS, powodując przepełnienie tablic alokowanych na stosie w funkcji vk_hevc_end_frame. Może to potencjalnie umożliwić wykonanie dowolnego kodu.

FFmpeg w wersjach 2.1 do 8.1.2 zawiera podatność na przepełnienie bufora sterty w demuxerze napisów VobSub. Dostarczenie złośliwego pliku .sub/.idx z nadmierną liczbą identyfikatorów strumieni może spowodować zapis poza granicami tablicy i potencjalne wykonanie kodu.

Podatność w FFmpeg w przeglądarce Google Chrome przed wersją 150.0.7871.47 umożliwia zdalnemu atakującemu odczyt poza zakresem pamięci procesu poprzez spreparowany plik wideo, co może prowadzić do ujawnienia potencjalnie wrażliwych informacji.

Dekoder wideo RASC w FFmpeg (libavcodec/rasc.c) wykonuje 32-bitowe odczyty i zapisy przed sprawdzeniem granic wiersza NEXT_LINE, a walidacja regionu DLTA odbywa się w pikselach zamiast bajtów. Specjalnie spreparowany strumień RASC może spowodować zapis poza stertą i odczyt poza zakresem, prowadząc do uszkodzenia pamięci.

Podatność w bibliotece libavcodec FFmpeg, w dekoderze MagicYUV, powodująca zapis poza dozwolonym obszarem pamięci. Może prowadzić do odmowy usługi, a w niektórych przypadkach do zdalnego wykonania kodu.

W FFmpeg wykryto lukę, którą zdalny atakujący może wykorzystać, dostarczając spreparowany plik multimedialny MPEG-PS/VOB z złośliwym strumieniem napisów DVD. Przyczyną jest przepełnienie liczbowe ze znakiem w sprawdzaniu granic podczas łączenia fragmentów w parserze napisów DVD, co prowadzi do zapisu poza granicami bufora na stercie. Udana eksploatacja może spowodować odmowę usługi (awaria aplikacji), a potencjalnie także wykonanie dowolnego kodu.

W FFmpeg 8.0 w funkcji yuv2ya16_X_c_template w pliku libswscale/output.c występuje podatność na przepełnienie liczby całkowitej.

Podatność use-after-free w dekoderze SANM (format animacji) w FFmpeg. Przy odpowiednio spreparowanym pliku z podwersją <2, nieprawidłowy rozmiar ramki w chunku FOBJ powoduje wczesny powrót i zapisanie surowej ramki w ctx->stored_frame bez ustawienia wymiarów. Późniejszy chunk FTCH ponownie dekoduje ramkę, inicjuje bufory i zwalnia poprzedni bufor, podczas gdy obiekt GetByteContext nadal wskazuje na zwolnioną pamięć, co prowadzi do zapisu po zwolnieniu (uszkodzenie metadanych alokatora).

Podatność heap-buffer-overflow write w dekoderze JPEG2000 w FFmpeg. Atakujący może potencjalnie uzyskać zdalne wykonanie kodu lub spowodować odmowę usługi poprzez atom cdef definicji kanału w JPEG2000.