🇰🇷 한글 설명
FFmpeg 7.1.4 미만 및 8.0.x 8.0.2 미만 버전의 libavformat/rtsp.c 내 ff_rtsp_connect() 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 악의적인 RTSP 서버가 Location URL을 검증하지 않고 3xx 리다이렉트를 수행할 경우, 공격자는 -protocol_whitelist를 우회하여 내부 네트워크 서비스에 접근할 수 있습니다.
💡 쉬운 설명
FFmpeg가 동영상을 불러올 때, 가짜 서버가 다른 주소로 연결하라고 속이면 사용자의 내부 네트워크를 몰래 훔쳐볼 수 있는 문제입니다. 이를 통해 공격자는 보안이 걸린 내부 컴퓨터나 장치에 접근을 시도할 수 있습니다.
🇺🇸 원문 (English)
FFmpeg before 7.1.4 and 8.0.x before 8.0.2 contains a server-side request forgery vulnerability in ff_rtsp_connect() in libavformat/rtsp.c that follows RTSP 3xx redirects without validating the Location URL. Malicious RTSP servers can redirect FFmpeg to internal hosts and ports under other schemes, bypassing -protocol_whitelist, to probe internal network services.
📍 영향받는 시스템
FFmpeg 7.1.4 미만 버전 및 8.0.x 8.0.2 미만 버전
⚔️ 공격 벡터
악의적인 RTSP 서버를 통한 리다이렉트 유도 및 내부 네트워크 프로빙
🛡️ 대응 방법
FFmpeg를 최신 보안 패치가 적용된 버전(7.1.4 또는 8.0.2 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 7.1.4 또는 8.0.2 이상의 버전 숫자가 포함되어 있으면 안전합니다.
ffmpeg -version | grep -E '7.1.4|8.0.2'