🇰🇷 한글 설명
FFmpeg 5.0부터 9.0.2까지의 IMF 디먹서에는 ASSETMAP의 Path 요소를 검증하지 않아 발생하는 경로 순회 취약점이 존재합니다. 이로 인해 공격자는 패키지 외부의 파일에 접근할 수 있습니다. 공격자는 '..' 또는 절대 경로가 포함된 조작된 IMF 패키지를 통해 로컬 MXF 파일을 디먹싱하거나, 파일 존재 여부와 크기를 탐지하거나, 서버 측 요청을 유발할 수 있습니다.
💡 쉬운 설명
동영상 처리 프로그램 FFmpeg이 특정 패키지 파일을 읽을 때 원래 허용된 폴더 밖의 파일까지 열 수 있는 문제가 있습니다. 악의적인 사람이 만든 파일을 처리하면 서버의 다른 파일 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
FFmpeg 5.0 through 9.0.2 contains a path traversal vulnerability in the IMF demuxer that allows attackers to open files outside the package via unvalidated ASSETMAP Path elements. Attackers can supply a crafted IMF package with '..' or absolute paths to demux local MXF files, probe file existence and size, or trigger server-side requests.
📍 영향받는 시스템
FFmpeg 5.0 ~ 9.0.2 (IMF 디먹서 사용 환경)
⚔️ 공격 벡터
ASSETMAP Path에 '..' 또는 절대 경로를 넣은 조작된 IMF 패키지를 FFmpeg으로 처리하게 하여 임의 파일 접근 및 존재 여부 탐지
🛡️ 대응 방법
FFmpeg을 취약점이 수정된 최신 버전으로 업데이트하고, 신뢰할 수 없는 IMF 패키지 처리를 제한합니다.
🔧 검증 코드
출력된 버전이 5.0 이상 9.0.2 이하이면 취약한 것이므로 패치된 버전으로 업데이트가 필요하며, 9.0.2를 초과하는 버전이면 해당 범위에서 벗어납니다.
ffmpeg -version 2>/dev/null | head -n 1