🇰🇷 한글 설명
FFmpeg 8.1.3 이전 버전 및 9.0.2 이전 9.x 버전의 VVC 디코더 sh_entry_points() 함수에 범위를 벗어난 쓰기 취약점이 존재합니다. 조작된 VVC(H.266) 비트스트림을 통해 엔트리 포인트를 과도하게 생성하면 entry_point_start_ctu 버퍼가 넘쳐 디코더 메모리가 손상될 수 있습니다.
💡 쉬운 설명
FFmpeg은 동영상을 재생하고 변환하는 프로그램입니다. 악의적으로 만든 동영상 파일을 열면 프로그램 메모리가 손상되어 공격자가 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
FFmpeg before 8.1.3 and 9.x before 9.0.2 contains an out-of-bounds write vulnerability in the VVC decoder's sh_entry_points() function in libavcodec/vvc/ps.c. Attackers can supply a crafted VVC (H.266) bitstream whose SPS/PPS tile and WPP layout produces excess entry points, overflowing entry_point_start_ctu and corrupting decoder memory.
📍 영향받는 시스템
FFmpeg 8.1.3 미만 및 9.0.2 미만 9.x 버전을 사용하는 모든 시스템
⚔️ 공격 벡터
조작된 VVC(H.266) 동영상 파일을 사용자가 FFmpeg로 디코딩하게 하여 힙/버퍼 메모리를 손상시키는 방식
🛡️ 대응 방법
FFmpeg를 8.1.3 이상 또는 9.0.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 8.1.3 미만이거나 9.0.2 미만의 9.x이면 취약하므로 업데이트가 필요하며, 버전 정보가 없으면 FFmpeg가 설치되지 않은 것입니다.
ffmpeg -version 2>/dev/null | head -n 1