BDU:2020-01557

Уязвимость функции mpeg4_decode_studio_block() мультимедийной библиотеки FFmpeg, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2020-04-16

Описание

Уязвимость функции mpeg4_decode_studio_block() мультимедийной библиотеки FFmpeg связана с чтением данных за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданных данных видео формата MPEG-4

Затрагиваемое ПО и версии

Ubuntu (18.04 LTS)Ubuntu (18.10)Astra Linux Special Edition (1.6 «Смоленск»)Ubuntu (19.04)OpenSUSE Leap (15.1)FFmpeg (от 4.0 до 4.0.4)FFmpeg (от 4.1 до 4.1.2)

Способ устранения

Использование рекомендаций:
Для FFmpeg:
https://github.com/FFmpeg/FFmpeg/commit/1f686d023b95219db933394a7704ad9aa5f01cbb
https://github.com/FFmpeg/FFmpeg/commit/d227ed5d598340e719eff7156b1aa0a4469e9a6

Для Ubuntu:
https://usn.ubuntu.com/3967-1/

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2019-11339/

Для Astra Linux Special Edition 1.6 «Смоленск»::
обновить пакет ffmpeg до 7:3.2.19-0+deb9u3+ci3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16

Оценка CVSS

Балл	9.3 — высокая опасность

Источники и патчи

http://lists.opensuse.org/opensuse-security-announce/2020-01/msg00012.html http://www.securityfocus.com/bid/108037 https://github.com/FFmpeg/FFmpeg/commit/1f686d023b95219db933394a7704ad9aa5f01cbb https://github.com/FFmpeg/FFmpeg/commit/d227ed5d598340e719eff7156b1aa0a4469e9a6a https://usn.ubuntu.com/3967-1/https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16

Проверьте безопасность своего сайта и почты → Полная проверка домена