🇰🇷 한글 설명
FFmpeg 9.0.2 이하 버전의 av_dynamic_hdr_plus_to_t35() 함수에서 초기화되지 않은 메모리가 노출되는 취약점이 발견되었습니다. 공격자가 조작된 Matroska T.35 또는 HEVC/AV1 SEI 메타데이터를 제공할 경우, 리먹싱이나 트랜스코딩 과정에서 프로세스 메모리의 일부가 출력 파일에 기록될 수 있습니다.
💡 쉬운 설명
동영상 파일을 변환할 때 컴퓨터 메모리에 남아있던 민감한 정보가 파일 안에 몰래 포함될 수 있는 문제입니다. 악의적으로 만들어진 파일을 처리하면 파일 안에 시스템 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
FFmpeg through 9.0.2 contains an uninitialized memory disclosure vulnerability in av_dynamic_hdr_plus_to_t35() that leaves up to three payload bytes uninitialized when tone_mapping_flag is 0. Attackers can supply crafted Matroska T.35 BlockAdditional or HEVC/AV1 SEI metadata so that remuxing or transcoding writes leaked process memory into output files.
📍 영향받는 시스템
FFmpeg 9.0.2 및 그 이전 버전
⚔️ 공격 벡터
조작된 메타데이터가 포함된 Matroska T.35 BlockAdditional 또는 HEVC/AV1 SEI 파일을 이용한 공격
🛡️ 대응 방법
FFmpeg를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 FFmpeg 버전이 9.0.2 이하인지 확인하십시오.
ffmpeg -version | head -n 1