Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] FFmpeg opravuje 3 zranitelnosti

FFmpeg (multimediální framework používaný populárními aplikacemi, jako VLC Media Player a OBS Studio) verzemi 7.0.2, 6.1.2, 6.0.1, 4.4.5, 4.3.8 a 4.2.10 opravuje 3 zranitelnosti [1]. Podrobný zápis postižených verzí pro danou zranitelnost lze nalézt ve webové verzi reportu (odkaz níže). Zranitelnosti CVE-2024-7055 a CVE-2024-7272 opravuje Debian ve vydání bookworm (security) verzí 7:5.1.6-0+deb12u1 [2][3]. Slackware opravuje zranitelnosti CVE-2023-47342 a CVE-2024-7055 [4].

FFmpeg - přetečení bufferu na haldě (CVE-2024-7055)
CVSS 6.3 (Medium)

Neautentizovanému vzdálenému útočníkovi je umožněno vyvolat přetečení haldy, což může způsobit odepření služby nebo neoprávněné spuštění kódu [2]. K zranitelnosti bylo zveřejněno PoC [3].

Zranitelnost se nachází v produktu:

  • FFmpeg; >=7, <7.0.2; >=6.1, <6.1.2; >=5.1, <5.1.6; >=4.4, <4.4.5; >=4.3, <4.3.8;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

Více informací:

Zranitelnost byla veřejně oznámena 6. 8. 2024.

FFmpeg - přetečení bufferu na haldě (CVE-2024-7272)
CVSS 6.3 (Medium)

Neautentizovanému vzdálenému útočníkovi je umožněno vyvolat přetečení haldy, což může způsobit odepření služby nebo neoprávněné spuštění kódu [4]. K zranitelnosti bylo zveřejněno PoC [5].

Zranitelnost se nachází v produktu:

  • FFmpeg; >=5.1, <5.1.6;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

Více informací:

Zranitelnost byla veřejně oznámena 8. 8. 2024.

FFmpeg - přístup mimo pole (CVE-2023-47342)

Útočníkovi je umožněno přistupovat v paměti za hranici pole, což může způsobit neoprávněný přístup k informacím, spuštění kódu nebo DoS útok [6].

Zranitelnost se nachází v produktu:

  • FFmpeg; ==6.1; ==6; >=5.1, <5.1.4; >=4.4, <4.4.5; >=4.3, <4.3.7; >=4.2, <4.2.10;

Více informací:

  • CVE-2023-47342 na cve.org, NVD
  • CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zranitelnost byla veřejně oznámena 22. 3. 2024.

Za CESNET, z.s.p.o. Martin Krajči dne 29. 8. 2024.

CESNET, z.s.p.o. Logo