BDU:2024-04849 (CVE-2023-50010)

Уязвимость функции set_encoder_id() (/fftools /ffmpeg_enc.c) мультимедийной библиотеки FFmpeg, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2024-06-28

Описание

Уязвимость функции set_encoder_id() (/fftools /ffmpeg_enc.c) мультимедийной библиотеки FFmpeg связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданных данных

Затрагиваемое ПО и версии

OpenSUSE Leap (15.5)SUSE Linux Enterprise Server for SAP Applications (15)SUSE Linux Enterprise Server for SAP Applications (15 SP1)Debian GNU/Linux (10)Suse Linux Enterprise Server (15-LTSS)openSUSE TumbleweedSuse Linux Enterprise Server (15 SP1-BCL)Suse Linux Enterprise Server (15 SP1-LTSS)Suse Linux Enterprise Server (15 SP1)Debian GNU/Linux (11)Debian GNU/Linux (12)Astra Linux Special Edition (1.7)Suse Linux Enterprise Server (15 SP3)SUSE Linux Enterprise Server for SAP Applications (15 SP3)Suse Linux Enterprise Desktop (15 SP3)Suse Linux Enterprise Server (15 SP2)SUSE Linux Enterprise Server for SAP Applications (15 SP2)Suse Linux Enterprise Server (15 SP4)Suse Linux Enterprise Desktop (15 SP2)Suse Linux Enterprise Desktop (15 SP4)Suse Linux Enterprise Server (15)Suse Linux Enterprise Server (15 SP2-BCL)SUSE Linux Enterprise Server for SAP Applications (15 SP4)Suse Linux Enterprise Server (15 SP2-LTSS)Suse Linux Enterprise Desktop (15 SP1)Suse Linux Enterprise Desktop (15)Suse Linux Enterprise Server (15 SP3-LTSS)Suse Linux Enterprise Server (15 SP3-BCL)Fedora (38)Fedora (39)

Способ устранения

Использование рекомендаций:

Для FFmpeg:
обновление программного средства до версии 7.0

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/6G7EYH2JAK5OJPVNC6AXYQ5K7YGYNCDN/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/IPETICRXUOGRIM4U3BCRTIKE3IZWCSBT/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/LE3ASLH6QF2E5OVJI5VA3JSEPJFFFMNY/

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2023-50010.html

Для программных продуктов Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-50010

Для ОС Astra Linux:
- обновить пакет ffmpeg до 7:4.1.11-0+deb10u1+ci2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17
- обновить пакет ffmpeg5 до 7:5.1.3-1astra4+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

Для ОС Astra Linux:
обновить пакет ffmpeg до 7:3.2.19-0+deb9u7+ci2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://ffmpeg.org/https://trac.ffmpeg.org/ticket/10702#no1 https://git.videolan.org/?p=ffmpeg.git;a=commitdiff;h=e4d2666bdc3dbd177a81bbf428654a5f2fa3787a https://github.com/FFmpeg/FFmpeg/commit/e4d2666bdc3dbd177a81bbf428654a5f2fa3787a https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/6G7EYH2JAK5OJPVNC6AXYQ5K7YGYNCDN/https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/IPETICRXUOGRIM4U3BCRTIKE3IZWCSBT/https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/LE3ASLH6QF2E5OVJI5VA3JSEPJFFFMNY/https://www.suse.com/security/cve/CVE-2023-50010.html

Проверьте безопасность своего сайта и почты → Полная проверка домена