🇰🇷 한글 설명
FFmpeg 2.3부터 9.0.2까지의 Huffyuv 디코더에 초기화되지 않은 리소스 사용 취약점이 존재합니다. 짧게 패킹된 BGR 비트스트림을 통해 힙 메모리 내용이 디코딩된 픽셀에 유출될 수 있습니다. 공격자는 엔트로피 데이터가 조기에 끝나는 Huffyuv BGR24/BGRA 비디오를 제작하여 decode_slice() 함수가 초기화되지 않은 s->temp[0] 바이트를 출력 프레임에 추가하도록 유도할 수 있습니다.
💡 쉬운 설명
동영상 파일을 재생하거나 변환하는 과정에서 프로그램 메모리의 일부 내용이 화면이나 결과 파일에 노출될 수 있습니다. 악의적으로 조작된 동영상 파일이 이 문제를 일으킬 수 있으므로 FFmpeg를 업데이트해야 합니다.
🇺🇸 원문 (English)
FFmpeg 2.3 through 9.0.2 contains a use of uninitialized resource vulnerability in the Huffyuv decoder that allows attackers to leak heap memory into decoded pixels via short packed-BGR bitstreams. Attackers can craft a Huffyuv BGR24/BGRA video whose entropy data ends early, causing decode_slice() to add uninitialized s->temp[0] bytes into output frames, exposing heap contents.
📍 영향받는 시스템
FFmpeg 2.3 ~ 9.0.2 버전 (Huffyuv 디코더를 사용하는 모든 운영체제 및 응용 프로그램)
⚔️ 공격 벡터
엔트로피 데이터가 조기에 종료된 조작된 Huffyuv BGR24/BGRA 비디오 파일을 사용자가 디코딩하도록 유도
🛡️ 대응 방법
FFmpeg를 취약점이 수정된 최신 버전으로 업데이트하거나 배포판 보안 패치를 적용
🔧 검증 코드
출력된 버전 번호가 2.3 이상 9.0.2 이하이면 취약하며, 9.0.2를 초과하는 패치된 버전이면 영향받지 않습니다.
ffmpeg -version 2>/dev/null | head -n 1