🇰🇷 한글 설명
FFmpeg 9.0.2 이하 버전의 libavutil/encryption_info.c 내 av_encryption_init_info_free() 함수에서 스택 고갈 취약점이 발견되었습니다. 공격자가 수만 개의 작은 pssh 박스가 포함된 조작된 MP4 파일을 제공할 경우, 스택이 고갈되어 프로세스가 충돌하거나 CPU 사용량이 급증할 수 있습니다.
💡 쉬운 설명
특수하게 제작된 동영상 파일을 재생하려고 하면 컴퓨터의 메모리 공간이 부족해져 프로그램이 갑자기 꺼질 수 있습니다. 또한 이 과정에서 컴퓨터의 처리 능력을 과도하게 사용하여 시스템이 느려질 수 있습니다.
🇺🇸 원문 (English)
FFmpeg through 9.0.2 contains a stack exhaustion vulnerability in av_encryption_init_info_free() in libavutil/encryption_info.c, which recursively frees AVEncryptionInitInfo linked lists built by the MOV demuxer's mov_read_pssh(). Attackers can supply a crafted MP4 file with tens of thousands of small pssh boxes to exhaust the stack and crash the process, while also causing quadratic CPU consumption.
📍 영향받는 시스템
FFmpeg 9.0.2 및 그 이전 버전
⚔️ 공격 벡터
조작된 pssh 박스가 다수 포함된 MP4 파일을 통해 공격자가 프로세스 충돌 및 CPU 과부하 유도
🛡️ 대응 방법
FFmpeg를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 9.0.2 이하인지 확인하여 취약 여부를 판단합니다.
ffmpeg -version | head -n 1