In der von der Alliance Open Media (AOMedia) entwickelten Bibliothek libaom, die eine Referenzimplementierung des Video-Codierungsformats AV1 bereitstellt, wurde eine kritische Sicherheitsanfälligkeit (CVE-2024-5171) festgestellt, die zu einem ganzzahligen Überlauf und zu einem Schreibzugriff außerhalb der Puffergrenzen führt, wenn zu große Werte in bestimmten Parametern verarbeitet werden. Eine ähnliche Sicherheitsanfälligkeit (CVE-2024-5197) wurde in der Bibliothek libvpx entdeckt, die die Codecs VP8 und VP9 implementiert. Die Probleme wurden in den Updates libaom 3.9.0 und libvpx 1.14.1 behoben. In den Distributionen sind die Sicherheitsanfälligkeiten jedoch noch nicht behoben (Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD).
Den Sicherheitsanfälligkeiten in libaom wurde das maximale Gefährdungsniveau (10 von 10) zugewiesen, was die Möglichkeit einer Ausnutzung bei der Verarbeitung von speziell gestalteten Inhalten in Anwendungen, die diese Bibliothek nutzen, impliziert. In libvpx wurde das Gefährdungsniveau auf 5,9 von 10 gesetzt, was begrenzte Ausnutzungsmöglichkeiten bedeutet. Die Hauptrisiken der Sicherheitsanfälligkeiten in libaom und libvpx ergeben sich daraus, dass diese Bibliotheken in Webbrowsern, Medienplayern und Diensten, die Video-Transcodierung durchführen, verwendet werden.
Die Sicherheitsanfälligkeit zeigt sich in libaom bei der Aufruf von Funktionen wie aom_img_alloc(), aom_img_wrap() oder om_img_alloc_with_border() mit großen Werten in den Parametern d_w, d_h und align, die zu einem ganzzahligen Überlauf bei der Berechnung der Offsets und Puffergrößen führen. Ein ähnlicher Überlauf tritt in den Funktionen vpx_img_alloc() und vpx_img_wrap() auf. Diese Funktionen werden beim Kodieren von Videos verwendet.
Die größte Gefahr der Sicherheitsanfälligkeit besteht in der potenziellen Möglichkeit eines Angriffs auf Browser, in denen frühere ähnliche Sicherheitsanfälligkeiten ausgenutzt werden konnten, indem speziell gestaltete Seiten im Browser geöffnet werden, die JavaScript-Funktionen zum Kodieren von Videos aufrufen, oder durch Manipulationen mit WebRTC. Laut Vertretern von Google betrifft die Sicherheitsanfälligkeit nicht die Chromium-Engine, da in den Funktionen aom_img_alloc(), aom_img_wrap(), vpx_img_alloc() und vpx_img_wrap() nur validierte Werte für die Argumente d_w und d_h übergeben wurden. In Firefox wird zur Dekodierung von AV1 die Bibliothek dav1d verwendet, aber zur Kodierung kommt libaom zum Einsatz. Ob Firefox von dem Problem betroffen ist, ist noch unklar, da Informationen darüber, wie die Sicherheitsanfälligkeit spezifische Produkte betrifft, noch nicht veröffentlicht wurden.
Quelle: opennet.ru
