🇰🇷 한글 설명
FFmpeg 8.1.2 이하 버전의 IAMF 디멀티플렉서에서 제어되지 않은 리소스 소비 취약점이 발견되었습니다. 공격자가 조작된 count_label 필드를 포함한 파일을 제공하면, 단 17바이트의 입력만으로도 수 기가바이트의 메모리 할당을 유도하여 시스템 메모리 고갈이나 프로세스 강제 종료를 일으킬 수 있습니다.
💡 쉬운 설명
특수하게 만들어진 아주 작은 파일을 실행하면 컴퓨터의 메모리를 순식간에 엄청나게 잡아먹어 컴퓨터가 멈추거나 꺼지게 만드는 버그입니다. 악의적인 파일 하나로 시스템을 마비시킬 수 있습니다.
🇺🇸 원문 (English)
FFmpeg through 8.1.2, fixed in commit 5d7112c, contains an uncontrolled resource consumption vulnerability in the IAMF demuxer that allows an unauthenticated attacker to cause multi-gigabyte memory allocation from a 17-byte input file by supplying a crafted count_label field. The mix_presentation_obu() function in libavformat/iamf_parse.c calls av_calloc(count_label, sizeof(*language_label)) with an attacker-controlled value before validating available OBU data, enabling an allocation amplification of approximately 126 million bytes per input byte that exhausts process memory or triggers an OOM-kill during format probing.
📍 영향받는 시스템
FFmpeg 8.1.2 및 그 이전 버전
⚔️ 공격 벡터
조작된 IAMF 형식의 파일을 통해 FFmpeg로 포맷 프로빙(Probing) 수행
🛡️ 대응 방법
FFmpeg를 최신 버전으로 업데이트하거나 커밋 5d7112c가 적용된 버전으로 패치하십시오.
🔧 검증 코드
출력된 버전 번호가 8.1.2 이하인지 확인하여 취약 여부를 판단합니다.
ffmpeg -version | head -n 1