🇰🇷 한글 설명
GStreamer Editing Services(gst-editing-services)에서 결함이 발견되었습니다. GES 프로젝트 파일은 효과 정의로 임의의 GStreamer 파이프라인 설명을 포함할 수 있으며, 이 파일이 로드되면 사용 가능한 요소나 속성에 대한 제한 없이 파싱 및 인스턴스화됩니다. 공격자가 조작된 프로젝트 파일을 전달하면 로컬 파일 읽기/쓰기, 외부 네트워크 요청, 애플리케이션 충돌이 발생할 수 있으며, 특정 조건에서는 파일 쓰기 기능을 이용해 코드 실행으로 이어질 수 있습니다.
💡 쉬운 설명
악성 영상 편집 프로젝트 파일을 열거나 미리보기만 해도 공격자가 컴퓨터의 파일을 읽거나 바꾸고 외부로 정보를 보낼 수 있습니다. 일부 경우에는 컴퓨터를 완전히 장악당할 위험도 있습니다.
🇺🇸 원문 (English)
A flaw was found in GStreamer Editing Services (gst-editing-services). A GES project file can embed an arbitrary GStreamer pipeline description as an effect definition. When such a file is loaded, either explicitly by an editing application or automatically by a media player or file-manager thumbnailing service that uses GStreamer autoplugging, the pipeline description is parsed and instantiated without restriction on which elements may be used or which properties may be set. A remote attacker who can deliver a crafted project file to a victim's system can trigger reading or writing of arbitrary local files, issue outbound network requests to attacker-controlled servers, or cause the application to crash. Under certain conditions the file-write capability may be leveraged to achieve code execution.
📍 영향받는 시스템
GStreamer Editing Services(gst-editing-services) 사용 애플리케이션 및 해당 라이브러리를 포함한 Linux 배포판 (정확한 취약 버전은 벤더 보안 공지 확인 필요)
⚔️ 공격 벡터
공격자가 조작된 GES 프로젝트 파일을 피해자에게 전달하고, 피해자가 이를 편집기로 열거나 미디어 플레이어·파일 관리자의 썸네일 기능으로 자동 로드되도록 유도
🛡️ 대응 방법
배포판 패키지 관리자로 gst-editing-services 및 관련 GStreamer 패키지를 최신 보안 업데이트 버전으로 업그레이드
🔧 검증 코드
설치된 패키지 버전을 출력하며, 벤더가 명시한 수정 버전 이상이면 패치가 적용된 것이고 그보다 낮으면 업데이트가 필요합니다. 출력이 없으면 해당 패키지가 설치되지 않은 것입니다.
dpkg -l | grep -i gst-editing-services 2>/dev/null || rpm -qa | grep -i gst-editing-services 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server