🇰🇷 한글 설명
FFmpeg 9.0.2 이하 버전의 libssh 기반 SFTP 프로토콜 핸들러에서 호스트 키 검증 누락 취약점이 발견되었습니다. 공격자는 중간자 공격(MitM), DNS 또는 ARP 스푸핑을 통해 SFTP 서버를 사칭하고 사용자의 비밀번호를 탈취하거나 조작된 미디어를 제공할 수 있습니다.
💡 쉬운 설명
FFmpeg을 통해 SFTP 서버에 접속할 때 서버가 진짜인지 확인하는 과정이 빠져 있는 보안 결함입니다. 이를 통해 해커가 가짜 서버를 만들어 사용자의 비밀번호를 훔치거나 가짜 영상을 보여줄 수 있습니다.
🇺🇸 원문 (English)
FFmpeg through 9.0.2 contains a missing host key verification vulnerability in the libssh-based sftp protocol handler that allows network attackers to impersonate SFTP servers. Attackers performing man-in-the-middle, DNS, or ARP spoofing can capture passwords supplied in sftp URLs, serve forged media, or receive uploaded output.
📍 영향받는 시스템
FFmpeg 9.0.2 및 그 이전 버전
⚔️ 공격 벡터
Man-in-the-Middle (MitM), DNS Spoofing, ARP Spoofing
🛡️ 대응 방법
FFmpeg을 최신 버전(9.0.3 이상 권장)으로 업데이트하거나 SFTP 사용 시 호스트 키 검증 설정을 수동으로 강화해야 합니다.
🔧 검증 코드
출력된 버전 정보가 9.0.2 이하인지 확인합니다.
ffmpeg -version | head -n 1