Podatności FFmpeg

Nieokreślona podatność w FFmpeg przed wersją 0.10.3, która ma nieznany wpływ i wektory ataku. Jest to inna podatność niż CVE-2012-2771, CVE-2012-2773, CVE-2012-2780 i CVE-2012-2781.

Nieokreślona podatność w FFmpeg przed wersją 0.10.3, która ma nieznany wpływ i wektory ataku. Jest to inna podatność niż CVE-2012-2771, CVE-2012-2778, CVE-2012-2780 i CVE-2012-2781.

Nieokreślona podatność w FFmpeg przed wersją 0.10.3, której wpływ i wektory ataku są nieznane. Jest to inna podatność niż CVE-2012-2773, CVE-2012-2778, CVE-2012-2780 i CVE-2012-2781.

FFmpeg przed 23 stycznia 2017 roku zawiera błąd związany z zapisem poza granicami, spowodowany przepełnieniem bufora na stosie w funkcji decode_zbuf w pliku libavcodec/pngdec.c.

FFmpeg przed 24 stycznia 2017 roku zawiera błąd związany z zapisem poza granicami, spowodowany przepełnieniem bufora w pamięci, który dotyczy funkcji ipvideo_decode_block_opcode_0xA w pliku libavcodec/interplayvideo.c oraz funkcji avcodec_align_dimensions2 w pliku libavcodec/utils.c.

FFmpeg przed 2017-02-04 zawiera błąd pisania poza granicami, spowodowany przepełnieniem bufora w stercie, związany z funkcją decode_frame_common w pliku libavcodec/pngdec.c.

FFmpeg przed 2017-02-07 zawiera błąd związany z zapisem poza granicami, spowodowany przepełnieniem bufora w stercie, który dotyczy funkcji decode_frame w pliku libavcodec/pictordec.c.

FFmpeg przed 2017-03-05 zawiera błąd zapisu poza granicami, spowodowany przepełnieniem bufora w stercie, związany z funkcją ff_h264_slice_context_init w pliku libavcodec/h264dec.c.

W FFmpeg przed wersją 2.8.10, 3.0.x przed 3.0.5, 3.1.x przed 3.1.6 oraz 3.2.x przed 3.2.2 występuje przepełnienie bufora w stercie w pliku ffserver.c, co pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez wykorzystanie braku sprawdzania rozmiaru fragmentu.

W bibliotece libavformat/rtmppkt.c w FFmpeg przed wersją 2.8.10, 3.0.x przed 3.0.5, 3.1.x przed 3.1.6 oraz 3.2.x przed 3.2.2 występuje przepełnienie bufora oparte na stercie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez wykorzystanie braku sprawdzania rozmiaru pakietów RTMP.

Przepełnienie całkowite w funkcji mov_build_index w libavformat/mov.c w FFmpeg przed wersją 2.8.8, 3.0.x przed 3.0.3 oraz 3.1.x przed 3.1.1 może umożliwić zdalnym atakującym wywołanie nieokreślonego wpływu poprzez wektory związane z rozmiarem próbki.

W FFmpeg znaleziono błąd w funkcji tdsc_load_cursor(), która zapisuje poza granice bufora przydzielonego na stercie podczas przetwarzania spreparowanych danych kursora TDSC. Zdalny atakujący może wykorzystać to przez dostarczenie specjalnie spreparowanego pliku wideo, co może prowadzić do odmowy usługi lub wykonania dowolnego kodu.

Przepełnienie liczby całkowitej w funkcji target_sws_fuzzer() w libswscale/output.c w FFmpeg N-122528-gdd2976b9e1 pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego wejścia.

Przepełnienie liczby całkowitej w funkcji hScale16To19_c() w libswscale/output.c w FFmpeg N-122528-gdd2976b9e1 pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego pliku obrazu.

Przepełnienie liczby całkowitej w komponencie libswscale/utils.c w FFmpeg N-122528-gdd2976b9e1 pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego pliku obrazu.

Przepełnienie sterty w funkcji ff_sws_alphablendaway (libswscale/alphablend.c) w FFmpeg git-master commit 722a217 pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez spreparowane wejście.

Przepełnienie liczby całkowitej w funkcji yuv2planeX_8_c() w libswscale/output.c w FFmpeg N-122528-gdd2976b9e1 pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego pliku wideo.

Podatność dzielenia przez zero w funkcji ff_sws_init_single_context w /libswscale/utils.c w FFmpeg N-122528-gdd2976b9e1 pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez spreparowane wejście.

Odwołanie do wskaźnika NULL w funkcji get_min_buffer_size w /libswscale/slice.c w FFmpeg N-122528-gdd2976b9e1 pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego pliku wideo.

W komponencie libavfilter/vf_scale.c biblioteki FFmpeg (wersja N-122528-gdd2976b9e1) występuje przepełnienie liczby całkowitej. Atakujący może wykorzystać tę podatność, dostarczając specjalnie spreparowany plik wideo, co prowadzi do odmowy usługi (DoS).

FFmpeg przed commit 983dae9 zawiera podatność odczytu poza zakresem w pakieteryzatorze RTP dla AV1 (libavformat/rtpenc_av1.c). Pętla wykrywająca klatki kluczowe, która szuka nagłówka sekwencji OBU, przesuwa wskaźnik i licznik pozostałego rozmiaru o długość zakodowanego nagłówka plus rozmiar ładunku OBU bez wcześniejszego ograniczenia rozmiaru OBU względem pozostałych danych. Specjalnie spreparowany rozmiar OBU powoduje zawinięcie licznika pozostałego rozmiaru do wartości dodatniej, co powoduje, że następna iteracja pętli dereferencjonuje wskaźnik poza końcem bufora pakietu. Spreparowany pakiet wejściowy AV1 multipleksowany do RTP wyzwala odczyt poza zakresem.

FFmpeg przed commit 65b0dab zawiera podatność odczytu poza zakresem w demuxerze DASH (libavformat/dashdec.c). Gdy manifest DASH na żywo jest odświeżany z numerem startNumber niższym niż poprzednia wartość, bieżący numer sekwencji staje się ujemny. Funkcja pobierania fragmentów sprawdzała tylko górną granicę przed indeksowaniem tablicy fragmentów, co pozwalało na użycie ujemnego indeksu i powodowało odczyt poza zakresem. Złośliwy lub źle skonfigurowany serwer DASH może to wywołać, serwując manifest na żywo z malejącym startNumber podczas odświeżania manifestu.

FFmpeg przed commit b4c199c zawiera nieprawidłową konwersję zawężającą liczb całkowitych w pakiecie RTP AV1 (libavformat/rtpenc_av1.c). Rozmiar OBU jest rzutowany na long przed porównaniem z pozostałym rozmiarem ramki. Na platformach, gdzie long ma 32 bity, w tym 64-bitowe Windows, odpowiednio duże wartości rozmiaru OBU są zmieniane znakowo przez zawężającą konwersję, co daje wartość ujemną, która przechodzi kontrolę rozmiaru ładunku. To pozwala na obejście zabezpieczeń przez zbyt duży OBU na dotkniętych platformach, prowadząc do dostępu do pamięci poza zakresem, gdy nadmierna wartość jest następnie używana jako długość kopiowania.

FFmpeg przed commit 1cdeb3c zawiera podatność przepełnienia bufora sterty w pakieteryzatorze RTP dla VC-2/Dirac (libavformat/rtpenc_vc2hq.c), która pozwala atakującym na wywołanie uszkodzenia pamięci poprzez dostarczenie spreparowanej jednostki danych Dirac. Pakieteryzator kopiuje rozmiar jednostki danych lub fragmentu pochodzącego z wejścia do bufora o stałym rozmiarze bez sprawdzenia górnej granicy, co powoduje przepełnienie bufora sterty, gdy spreparowane wejście jest pakieteryzowane do wyjścia RTP.

FFmpeg przed commit 9d786e4 zawiera podatność przepełnienia bufora stosu w multiplekserze MPEG-PS (libavformat/mpegenc.c). Podczas multipleksowania wejścia z większą liczbą strumieni niż mieści się w buforze o stałym rozmiarze na stosie, bufor jest przepełniany. Spreparowane wejście z nadmierną liczbą strumieni wyzwala przepełnienie podczas multipleksowania MPEG-PS.

FFmpeg przed commit acf5d7c zawiera podatność przepełnienia bufora sterty w pisarzu pudełka hvcC. Podczas zapisywania rekordu konfiguracji HEVC z większą liczbą jednostek NAL danego typu niż pole licznika może reprezentować, licznik jednostek NAL przepełnia się, co powoduje przepełnienie bufora sterty. Spreparowany plik wejściowy HEVC wyzwala przepełnienie podczas multipleksowania.

FFmpeg w wersjach od 4.4 do przed 9.0 zawiera podatność zapisu poza zakresem na stercie w natywnym dekoderze GoPro CineForm HD (CFHD), która pozwala zdalnym atakującym na uszkodzenie pamięci sterty poprzez dostarczenie spreparowanego pliku AVI podczas skanowania strumienia. Funkcja cfhd_decode() nie egzekwuje niezmiennika szerokości wyjściowej w ścieżce rekonstrukcji typu transform-2, co powoduje zapis zbyt dużych próbek poza przydzielony bufor, co może eskalować do wykonania kodu.

W FFmpeg od wersji 0.5 do 9.0 (bez 9.0) występuje podatność na ujawnienie niezainicjalizowanej pamięci sterty w natywnym dekoderze TIFF (libavcodec/tiff.c). Atakujący może dostarczyć spreparowany plik TIFF z prawidłowym strumieniem Deflate, który kończy się sukcesem, ale produkuje mniej bajtów niż zadeklarowano. Funkcja tiff_unpack_zlib() alokuje bufor sterty o rozmiarze pełnego deklarowanego paska, ale kopiuje wszystkie zadeklarowane wiersze przez memcpy(), niezależnie od faktycznej liczby zdekompresowanych bajtów, co powoduje włączenie niezapisanych bajtów z poprzednich alokacji do obrazu wyjściowego.

W FFmpeg od wersji 3.0 do 9.0 (bez 9.0) występuje podatność na odczyt niezainicjalizowanej pamięci sterty w natywnym dekoderze Screenpresso (libavcodec/screenpresso.c). Atakujący może dostarczyć spreparowany pakiet SPV1 z prawidłowym strumieniem zlib, który dekompresuje mniej bajtów niż wymaga pełna klatka. Funkcja screenpresso_decode_frame() nie sprawdza liczby wyprodukowanych bajtów przed wywołaniem av_image_copy_plane(), co powoduje skopiowanie niezapisanej pamięci sterty z bufora ctx->inflated_buf do wyjścia.

W FFmpeg od wersji 3.0 do 9.0 (bez 9.0) występuje podatność na odczyt niezainicjalizowanej pamięci sterty w natywnym dekoderze RSCC (libavcodec/rscc.c). Atakujący może dostarczyć spreparowany plik wideo ze skompresowanym kafelkiem, który dekompresuje mniej bajtów niż wymaga geometria kafelka. Funkcja rscc_decode_frame() wywołuje av_image_copy_plane() bez sprawdzenia liczby zdekompresowanych bajtów, co powoduje skopiowanie niezapisanej części bufora ctx->inflated_buf do klatki wyjściowej.

FFmpeg w wersjach od 0.5 do przed 9.0 zawiera podatność przepełnienia liczby całkowitej ze znakiem w parserze napisów DVB, która pozwala atakującym na wywołanie przepełnienia bufora sterty poprzez dostarczenie spreparowanego pliku WTV. Przepełnienie powoduje zawinięcie wyrażenia kontrolnego do INT_MIN, omijając porównanie PARSE_BUF_SIZE i wywołując memcpy() z kontrolowanymi danymi do bufora sterty, co prowadzi do zapisu poza zakresem i potencjalnego uszkodzenia pamięci lub wykonania kodu.

FFmpeg w wersjach 7.0 do 8.1.2, naprawiony w commicie 4da9812, zawiera podatność na zapis poza zakresem sterty w filtrze vf_quirc. Atakujący może dostarczyć spreparowany plik napisów PGS/SUP z niedopasowanymi wymiarami klatek, powodując kopiowanie danych poza przydzielony bufor, co prowadzi do uszkodzenia sterty i potencjalnego wykonania kodu.

FFmpeg do wersji 8.1.2, naprawiony w commicie b506faf, zawiera podatność na zapis poza zakresem sterty w natywnych koderach PNG i APNG. Atakujący może dostarczyć spreparowany obraz PNG z złośliwym fragmentem eXIf, powodując zapis dziesiątek tysięcy bajtów poza granicę bufora, co prowadzi do uszkodzenia sterty i potencjalnego wykonania kodu.

FFmpeg do wersji 8.1.2, naprawiony w commicie aafb5c6, zawiera podatność na przepełnienie liczby całkowitej ze znakiem w dekoderze audio MACE6. Atakujący może dostarczyć spreparowany plik CAF z złośliwą wartością bytes_per_packet, powodując przepełnienie liczby całkowitej i przydzielenie zbyt małego bufora, co prowadzi do zapisu poza zakresem sterty i potencjalnego wykonania kodu.

FFmpeg do wersji 8.1.2 zawiera podatność na ujawnienie informacji w dekoderze wideo LCL/ZLIB, która pozwala atakującym na odczyt niezainicjalizowanej pamięci sterty poprzez dostarczenie poprawnego strumienia zlib, który dekompresuje się do mniejszej liczby bajtów niż oczekiwany rozmiar ramki. Funkcja zlib_decomp() w lcldec.c traktuje krótką dekompresję jako niekrytyczną i kontynuuje konwersję do RGB24, kopiując pełną ramkę wierszy z bufora alokacji, co powoduje skopiowanie niezainicjalizowanych danych sterty, w tym bajtów alokatora pochodzących ze wskaźników, do wyjścia AVFrame widocznego dla atakującego, potencjalnie omijając ASLR w długotrwałych usługach przetwarzania multimediów.

FFmpeg do wersji 8.1.2 zawiera podatność na niekontrolowane zużycie zasobów w demuxerze IAMF, która pozwala nieuwierzytelnionemu atakującemu na spowodowanie alokacji pamięci rzędu gigabajtów z 17-bajtowego pliku wejściowego poprzez dostarczenie spreparowanego pola count_label. Funkcja mix_presentation_obu() w libavformat/iamf_parse.c wywołuje av_calloc(count_label, sizeof(*language_label)) z wartością kontrolowaną przez atakującego przed walidacją dostępnych danych OBU, co umożliwia amplifikację alokacji wynoszącą około 126 milionów bajtów na bajt wejściowy, wyczerpując pamięć procesu lub powodując OOM-kill podczas próbkowania formatu.

W FFmpeg do wersji 8.1.2 występuje podatność na zapis poza dozwolonym obszarem sterty w filtrze vf_hqdn3d. Atakujący może dostarczyć spreparowane wideo, w którym rozdzielczość klatek wzrasta, a ponowna inicjalizacja filtru jest wyłączona, co prowadzi do uszkodzenia pamięci sterty.

Podatność zapisu poza dozwolonym obszarem pamięci w filtrze wideo vf_swaprect w FFmpeg w wersjach 3.0 do 8.1.2. Atakujący może dostarczyć spreparowaną klatkę NV12 o nieparzystej szerokości, co powoduje uszkodzenie sterty i potencjalne wykonanie kodu.

Podatność w filtrze wideo vf_floodfill w FFmpeg (wersje 3.4 do 8.1.2) powoduje zapis poza dozwolonym obszarem pamięci sterty. Gdy funkcja config_input() alokuje stos na podstawie początkowych wymiarów klatki, a następnie przetwarzana jest większa klatka, funkcja filter_frame() wykonuje operacje wypychania sąsiadów poza pierwotny przydział, co prowadzi do uszkodzenia sterty i potencjalnego wykonania kodu.

Podatność w FFmpeg do wersji 8.1.2 umożliwia zapis poza dozwolonym obszarem pamięci sterty poprzez dostarczenie spreparowanego pliku ffconcat z flagą -safe 0. Funkcja demux_audio() w demuxerze TY zmniejsza rozmiar pakietu bez sprawdzania granic, co prowadzi do ujemnej wartości rozmiaru, która po konwersji na size_t w shorten_decode_frame() powoduje odczyt poza źródłem i zapis poza buforem bitstreamu dekodera Shorten.

FFmpeg w wersjach 2.7 do 8.1.2 zawiera podatność zapisu poza zakresem w dekoderze wideo TDSC, umożliwiającą zdalnemu atakującemu uszkodzenie sterty przez spreparowany plik AVI zmieniający wymiary klatek.

FFmpeg w wersjach 4.4 do 8.1.2 zawiera podatność na odczyt i zapis poza dozwolonym obszarem pamięci w dekoderze ADX. Atakujący może dostarczyć spreparowany plik audio ADX lub AAX ze zmianą układu kanałów w środku strumienia, co powoduje użycie nieaktualnej liczby kanałów i dostęp do pamięci poza zakresem.

FFmpeg w wersjach od 0.6.3 do 8.1.2 zawiera podatność na nieskończoną pętlę w demuxerze RTP/ASF (libavformat/rtpdec_asf.c). Funkcja rtp_asf_fix_header nie sprawdza minimalnego rozmiaru fragmentu podczas iteracji po obiektach ASF, co pozwala zdalnemu atakującemu na wysłanie spreparowanego strumienia RTP/ASF powodującego wyczerpanie CPU i odmowę usługi.

FFmpeg w wersjach 0.7.1 do 8.1.2 zawiera podatność na odczyt poza zakresem w multiplekserze S/PDIF. Atakujący może dostarczyć spreparowany strumień DTS z wartością core_size większą niż rzeczywista długość pakietu, powodując nieautoryzowany odczyt pamięci.

Podatność double-free w dekoderze sprzętowym NVIDIA NVDEC w FFmpeg (wersje 4.4–8.1.2). Atakujący może dostarczyć spreparowany plik wideo, powodując podwójne zwolnienie pamięci kontekstu dekodera.

W FFmpeg w wersjach od 8.0 do 8.1.2 występuje podatność na przepełnienie bufora stosu w dekoderze sprzętowym Vulkan HEVC. Zdalny atakujący może dostarczyć spreparowany strumień HEVC/H.265, który zawiera złośliwą wartość vps_num_hrd_parameters przekraczającą HEVC_MAX_SUB_LAYERS, powodując przepełnienie tablic alokowanych na stosie w funkcji vk_hevc_end_frame. Może to potencjalnie umożliwić wykonanie dowolnego kodu.

FFmpeg w wersjach 2.1 do 8.1.2 zawiera podatność na przepełnienie bufora sterty w demuxerze napisów VobSub. Dostarczenie złośliwego pliku .sub/.idx z nadmierną liczbą identyfikatorów strumieni może spowodować zapis poza granicami tablicy i potencjalne wykonanie kodu.

Podatność w FFmpeg w przeglądarce Google Chrome przed wersją 150.0.7871.47 umożliwia zdalnemu atakującemu odczyt poza zakresem pamięci procesu poprzez spreparowany plik wideo, co może prowadzić do ujawnienia potencjalnie wrażliwych informacji.

Dekoder wideo RASC w FFmpeg (libavcodec/rasc.c) wykonuje 32-bitowe odczyty i zapisy przed sprawdzeniem granic wiersza NEXT_LINE, a walidacja regionu DLTA odbywa się w pikselach zamiast bajtów. Specjalnie spreparowany strumień RASC może spowodować zapis poza stertą i odczyt poza zakresem, prowadząc do uszkodzenia pamięci.

Podatność w bibliotece libavcodec FFmpeg, w dekoderze MagicYUV, powodująca zapis poza dozwolonym obszarem pamięci. Może prowadzić do odmowy usługi, a w niektórych przypadkach do zdalnego wykonania kodu.