🇰🇷 한글 설명
FFmpeg의 hvcC 박스 작성기에서 힙 버퍼 오버플로 취약점이 발견되었습니다. HEVC 구성 레코드 작성 시 NAL 유닛 개수가 카운트 필드의 범위를 초과하면 오버플로가 발생하며, 조작된 HEVC 입력 파일을 통해 힙 메모리 오버플로를 유발할 수 있습니다.
💡 쉬운 설명
특수하게 제작된 동영상 파일을 재생하거나 변환할 때 프로그램의 메모리 영역을 넘어서는 데이터가 입력되어 오류가 발생하는 문제입니다. 이로 인해 프로그램이 강제 종료되거나 해커가 시스템 권한을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
FFmpeg before commit acf5d7c contains a heap buffer overflow in the hvcC box writer. When writing an HEVC configuration record with more NAL units of a single type than the count field can represent, the NAL unit count overflows, causing a heap buffer overflow. A crafted HEVC input file triggers the overflow during muxing.
📍 영향받는 시스템
FFmpeg (commit acf5d7c 이전 버전)
⚔️ 공격 벡터
조작된 HEVC 형식의 입력 파일을 사용하여 멀티플렉싱(muxing) 과정 유도
🛡️ 대응 방법
FFmpeg를 최신 버전(commit acf5d7c 이후)으로 업데이트
🔧 검증 코드
출력된 버전 정보가 취약점이 수정된 commit acf5d7c 이후 버전인지 확인
ffmpeg -version | grep -E 'ffmpeg version'