🇰🇷 한글 설명
FFmpeg 8.1.2 이하 버전의 PNG 및 APNG 인코더에서 힙 경계 외 쓰기 취약점이 발견되었습니다. 공격자가 악의적으로 조작된 eXIf 청크를 포함한 PNG 이미지를 제공할 경우, 메모리 할당 크기보다 훨씬 많은 데이터가 기록되어 힙 메모리가 손상될 수 있습니다. 이는 프로세스 충돌이나 임의 코드 실행으로 이어질 수 있습니다.
💡 쉬운 설명
특수하게 만들어진 이미지 파일을 처리할 때 프로그램이 메모리를 잘못 계산하여 넘쳐흐르는 문제입니다. 이로 인해 프로그램이 꺼지거나 해커가 컴퓨터를 제어할 위험이 있습니다.
🇺🇸 원문 (English)
FFmpeg through 8.1.2, fixed in commit b506faf, contains a heap out-of-bounds write vulnerability in the native PNG and APNG encoders that allows remote attackers to corrupt heap memory by supplying a crafted PNG image with a malicious eXIf chunk. Attackers can craft an eXIf chunk where multiple IFD entries reference the same large value payload, causing canonical serialization to expand the output far beyond the undersized allocation estimated by add_exif_profile_size(), resulting in png_write_chunk() writing tens of thousands of bytes past the buffer boundary, leading to deterministic heap corruption, process crash, and potentially arbitrary code execution.
📍 영향받는 시스템
FFmpeg 8.1.2 및 그 이전 버전
⚔️ 공격 벡터
악의적으로 조작된 eXIf 청크가 포함된 PNG/APNG 이미지 파일을 통한 원격 공격
🛡️ 대응 방법
FFmpeg를 최신 버전(commit b506faf 이상이 반영된 버전)으로 업데이트하십시오.
🔧 검증 코드
출력된 FFmpeg 버전이 8.1.2 이하인지 확인하여 취약 여부를 판단합니다.
ffmpeg -version | head -n 1