🇰🇷 한글 설명
FFmpeg 9.0.2 이하 버전의 libavcodec/huffyuvenc.c에 있는 encode_frame() 함수에서 메모리 범위를 벗어난 접근 취약점이 발견되었습니다. encode_init()이 median 예측기의 최소 프레임 크기를 검증하지 않아, 매우 작은 프레임을 huffyuv 또는 ffvhuff로 변환할 때 인코더가 비정상 종료될 수 있습니다.
💡 쉬운 설명
동영상 프로그램인 FFmpeg에서 아주 작은 크기의 영상을 처리하면 프로그램이 오작동하거나 멈출 수 있는 문제입니다. 공격자가 이런 영상을 전달하면 변환 과정에서 프로그램이 충돌할 수 있습니다.
🇺🇸 원문 (English)
FFmpeg through 9.0.2 contains an out-of-bounds memory access vulnerability in the encode_frame() function of libavcodec/huffyuvenc.c, because encode_init() never validates minimum frame dimensions for the median predictor. Attackers can supply a tiny video, such as a 2-pixel-wide or 1-2-pixel-tall frame, that causes negative sub_median_pred lengths and out-of-bounds reads and writes when transcoded to huffyuv or ffvhuff, crashing the encoder.
📍 영향받는 시스템
FFmpeg 9.0.2 이하 버전 (libavcodec huffyuv/ffvhuff 인코더 사용 환경)
⚔️ 공격 벡터
2x1 또는 1-2픽셀 높이처럼 극도로 작은 크기의 영상을 huffyuv 또는 ffvhuff 코덱으로 변환하도록 유도하여 인코더를 충돌시킴
🛡️ 대응 방법
FFmpeg를 취약점이 수정된 최신 버전으로 업데이트하거나, 배포판 보안 패치를 적용하고 신뢰할 수 없는 영상의 변환을 제한합니다.
🔧 검증 코드
출력된 버전 번호가 9.0.2 이하이면 취약 가능성이 있으므로 패키지 관리자의 업데이트 여부를 확인해야 하며, 명령이 실패하면 FFmpeg가 설치되지 않은 것입니다.
ffmpeg -version 2>/dev/null | head -n 1