🇰🇷 한글 설명
FFmpeg 2.1부터 9.0.2까지의 버전에서 PCX 디코더에 초기화되지 않은 리소스 사용 취약점이 존재합니다. 공격자는 RLE 데이터가 중간에 끝나도록 조작된 PCX 이미지를 통해 힙 메모리 내용을 유출할 수 있습니다. 이는 pcx_decode_frame() 함수가 av_malloc()으로 할당된 초기화되지 않은 버퍼 내용을 디코딩된 픽셀에 복사하기 때문입니다.
💡 쉬운 설명
악의적으로 만들어진 그림 파일을 FFmpeg로 열면, 프로그램 메모리에 남아 있던 다른 데이터의 일부가 화면에 노출될 수 있습니다. 민감한 정보가 의도치 않게 드러날 수 있는 문제입니다.
🇺🇸 원문 (English)
FFmpeg 2.1 through 9.0.2 contains a use of uninitialized resource vulnerability in the PCX decoder that allows attackers to leak heap memory through truncated RLE scanlines. Attackers can craft a PCX image whose RLE data ends early, causing pcx_decode_frame() to copy uninitialized av_malloc() buffer contents into visible decoded pixels.
📍 영향받는 시스템
FFmpeg 2.1 ~ 9.0.2 버전을 사용하는 모든 시스템 및 애플리케이션
⚔️ 공격 벡터
RLE 데이터가 조기에 종료된 조작된 PCX 이미지 파일을 FFmpeg로 처리하게 하여 힙 메모리 내용을 유출
🛡️ 대응 방법
FFmpeg를 취약점이 수정된 최신 버전으로 업데이트하고, 신뢰할 수 없는 PCX 파일 처리를 제한
🔧 검증 코드
출력된 버전 번호가 2.1 이상 9.0.2 이하이면 취약한 것이며, 패치된 버전 이상이면 조치가 완료된 것입니다.
ffmpeg -version 2>/dev/null | head -n 1