[TLP:CLEAR] FFmpeg opravuje 3 zraniteľnosti

FFmpeg (multimedia framework používaný populárnymi aplikáciami, ako VLC Media Player a OBS Studio) verziami 7.0.2, 6.1.2, 6.0.1, 4.4.5, 4.3.8 a 4.2.10 opravuje 3 zraniteľnosti [1]. Podrobný zápis postihnutých verzií pre danú zraniteľnosť je možné nájsť vo webovej verzii reportu (odkaz nižšie). Zraniteľnosti CVE-2024-7055 a CVE-2024-7272 opravuje Debian vo vydaní bookworm (security) verziou 7:5.1.6-0+deb12u1 [2][3]. Slackware opravuje zraniteľnosti CVE-2023-47342 a CVE-2024-7055 [4].

FFmpeg - Heap buffer overflow (CVE-2024-7055)
CVSS 6.3 (Medium)

Neautentizovanému vzdialenému útočníkovi je umožnené vykonať pretečenie hromady, čo môže spôsobiť odopretie prístupu od služby alebo neoprávnené vykonávanie kódu [2]. K zraniteľnosti bolo zverejnené PoC [3].

Zraniteľnosť sa nachádza v produkte:

  • FFmpeg; >=7, <7.0.2; >=6.1, <6.1.2; >=5.1, <5.1.6; >=4.4, <4.4.5; >=4.3, <4.3.8;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

Viac informácií:

Zraniteľnosť bola verejne oznámená 6. 8. 2024.

FFmpeg - Heap buffer overflow (CVE-2024-7272)
CVSS 6.3 (Medium)

Neautentizovanému vzdialenému útočníkovi je umožnené vykonať pretečenie hromady, čo môže spôsobiť odopretie prístupu od služby alebo neoprávnené vykonávanie kódu [4]. K zraniteľnosti bolo zverejnené PoC [5].

Zraniteľnosť sa nachádza v produkte:

  • FFmpeg; >=5.1, <5.1.6;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

Viac informácií:

Zraniteľnosť bola verejne oznámená 8. 8. 2024.

FFmpeg - Out of array access (CVE-2023-47342)

Útočníkovi je umožnené pristupovať v pamäti za hranicu poľa, čo môže spôsobiť neoprávnený prístup k informáciám, vykonávanie kódu ale DoS útok [6].

Zraniteľnosť sa nachádza v produkte:

  • FFmpeg; ==6.1; ==6; >=5.1, <5.1.4; >=4.4, <4.4.5; >=4.3, <4.3.7; >=4.2, <4.2.10;

Viac informácií:

  • CVE-2023-47342 na cve.org, NVD
  • CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 22. 3. 2024.

Za CESNET, z.s.p.o. Martin Krajči dňa 29. 8. 2024.

CESNET, z.s.p.o. Logo