🇰🇷 한글 설명
FFmpeg 4.4 버전부터 9.0 미만 버전의 GoPro CineForm HD(CFHD) 디코더에서 힙 경계 외 쓰기 취약점이 발견되었습니다. 공격자가 조작된 AVI 파일을 제공할 경우, 디코딩 과정에서 할당된 메모리 범위를 초과하여 데이터를 기록함으로써 임의 코드를 실행할 수 있습니다.
💡 쉬운 설명
특수하게 제작된 동영상 파일을 재생하려고 하면 컴퓨터의 메모리 영역을 침범하여 해커가 명령을 내릴 수 있는 보안 결함입니다. FFmpeg을 사용하여 동영상을 처리하는 프로그램이 이 위험에 노출될 수 있습니다.
🇺🇸 원문 (English)
FFmpeg versions from 4.4 up to, but not including, 9.0 contain an out-of-bounds heap write vulnerability in the native GoPro CineForm HD (CFHD) decoder that allows remote attackers to corrupt heap memory by supplying a crafted AVI file during stream probing. The cfhd_decode() function fails to enforce the non-Bayer logical output-width invariant in the transform-type-2 reconstruction path, causing horiz_filter_clip() to write oversized 16-bit sample rows far beyond the allocated output frame buffer, which can be escalated to arbitrary code execution via overwrite of a live cleanup callback pointer.
📍 영향받는 시스템
FFmpeg versions 4.4 up to (but not including) 9.0
⚔️ 공격 벡터
조작된 AVI 파일을 통한 스트림 프로빙(Stream Probing) 공격
🛡️ 대응 방법
FFmpeg을 9.0 이상의 최신 버전으로 업데이트하거나 해당 코덱 사용을 제한하십시오.
🔧 검증 코드
출력 결과에 ffmpeg version 4.x부터 8.x 사이의 버전이 나타나면 취약한 버전이 설치된 것입니다.
ffmpeg -version | grep -E 'ffmpeg version [4-8]\.'