🇰🇷 한글 설명
FFmpeg 9.0.2 이하 버전의 DASH demuxer에서 빈 SegmentTemplate 미디어 URL을 제공할 경우 무한 루프가 발생하는 서비스 거부(DoS) 취약점이 존재합니다. 공격자가 미디어 URL이 비어 있는 .mpd 매니페스트를 제작하여 전달하면, av_strireplace 함수가 빈 검색 문자열을 처리하는 과정에서 CPU 자원을 무한히 점유하게 됩니다.
💡 쉬운 설명
특수하게 조작된 동영상 재생 목록 파일을 실행하면 컴퓨터가 멈추거나 CPU 사용량이 100%가 되어 작동이 불가능해지는 문제입니다. 비어 있는 주소 정보를 처리하는 과정에서 프로그램이 끝없이 반복 계산을 수행하기 때문에 발생합니다.
🇺🇸 원문 (English)
FFmpeg through 9.0.2 contains a denial of service vulnerability in the DASH demuxer that allows attackers to trigger an infinite loop by supplying an empty SegmentTemplate media URL. Attackers can craft an .mpd manifest declaring SegmentTemplate media="" so get_current_fragment() calls av_strireplace() with an empty search string, consuming CPU indefinitely.
📍 영향받는 시스템
FFmpeg 9.0.2 및 그 이전 버전
⚔️ 공격 벡터
조작된 SegmentTemplate(media="")이 포함된 .mpd 매니페스트 파일을 통해 공격
🛡️ 대응 방법
FFmpeg를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 9.0.2 이하인지 확인하여 취약 여부를 판단합니다.
ffmpeg -version | head -n 1