In der von der Alliance for Open Media (AOMedia) entwickelten Bibliothek libaom, die eine Referenzimplementierung des Video-Encoding-Formats AV1 bereitstellt, wurde eine kritische Schwachstelle (CVE-2024-5171) entdeckt, die zu einem ganzzahligen Überlauf und zu einem Schreiben außerhalb des Pufferbereichs führt, wenn zu große Werte in bestimmten Parametern verarbeitet werden. Eine ähnliche Schwachstelle (CVE-2024-5197) wurde in der Bibliothek libvpx, die die Codecs VP8 und VP9 implementiert, gefunden. Die Probleme wurden in den Updates libaom 3.9.0 und libvpx 1.14.1 behoben. In den Distributionen bleiben die Schwachstellen jedoch weiterhin ungepatcht (Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD).
Die Schwachstellen in libaom haben das höchste Risikoniveau (10 von 10) erhalten, was die Möglichkeit der Ausnutzung bei der Verarbeitung speziell gestalteter Inhalte in Anwendungen, die diese Bibliothek verwenden, impliziert. Für libvpx liegt das Risikoniveau bei 5,9 von 10, was begrenzte Ausnutzungsbedingungen darstellt. Die Hauptgefahr der Schwachstellen in libaom und libvpx ergibt sich daraus, dass diese Bibliotheken in Webbrowsern, Media-Playern und Diensten eingesetzt werden, die Videokodierungen durchführen.
Die Schwachstelle tritt in libaom auf, wenn die Funktionen aom_img_alloc(), aom_img_wrap() oder aom_img_alloc_with_border() mit hohen Werten für die Parameter d_w, d_h und align aufgerufen werden, was zu einem Überlauf bei der Berechnung von Pufferverschiebungen und -größen führt. Ein ähnlicher Überlauf tritt in den Funktionen vpx_img_alloc() und vpx_img_wrap() auf. Diese Funktionen werden beim Video-Encoding verwendet.
Die Schwachstelle birgt die größte Gefahr aufgrund der potenziellen Möglichkeit eines Angriffs auf Browser, in denen frühere ähnliche Schwachstellen über das Öffnen speziell gestalteter Seiten im Browser, die JavaScript-Funktionen zum Kodieren von Videos aufrufen, oder durch Manipulationen mit WebRTC ausgenutzt werden konnten. Laut Google beeinträchtigt die Schwachstelle nicht die Chromium-Engine, da in den Funktionen aom_img_alloc(), aom_img_wrap(), vpx_img_alloc() und vpx_img_wrap() nur geprüfte Werte für die Argumente d_w und d_h übergeben wurden. In Firefox wird die dav1d-Bibliothek zum Decodieren von AV1 verwendet, aber für die Kodierung kommt libaom zum Einsatz. Ob Firefox betroffen ist, ist noch unklar, da Informationen darüber, wie die Schwachstelle spezifische Produkte betrifft, noch nicht veröffentlicht wurden.
Quelle: opennet.ru
