{"id":116387,"date":"2024-06-06T15:39:51","date_gmt":"2024-06-06T13:39:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-etalonnyh-realizacziyah-kodekov-av1-i-vp8-vp9"},"modified":"2024-06-06T15:39:51","modified_gmt":"2024-06-06T13:39:51","slug":"uyazvimost-v-etalonnyh-realizacziyah-kodekov-av1-i-vp8-vp9","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-v-etalonnyh-realizacziyah-kodekov-av1-i-vp8-vp9","title":{"rendered":"Sicherheitsanf\u00e4lligkeit in Referenzimplementierungen der AV1- und VP8\/VP9-Codecs","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In der von der Alliance for Open Media (AOMedia) entwickelten Bibliothek libaom, die eine Referenzimplementierung des Video-Encoding-Formats AV1 bereitstellt, wurde eine kritische Schwachstelle (CVE-2024-5171) entdeckt, die zu einem ganzzahligen \u00dcberlauf und zu einem Schreiben au\u00dferhalb des Pufferbereichs f\u00fchrt, wenn zu gro\u00dfe Werte in bestimmten Parametern verarbeitet werden. Eine \u00e4hnliche Schwachstelle (CVE-2024-5197) wurde in der Bibliothek libvpx, die die Codecs VP8 und VP9 implementiert, gefunden. Die Probleme wurden in den Updates libaom 3.9.0 und libvpx 1.14.1 behoben. In den Distributionen bleiben die Schwachstellen jedoch weiterhin ungepatcht (Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, FreeBSD). <\/p>\n
Die Schwachstellen in libaom haben das h\u00f6chste Risikoniveau (10 von 10) erhalten, was die M\u00f6glichkeit der Ausnutzung bei der Verarbeitung speziell gestalteter Inhalte in Anwendungen, die diese Bibliothek verwenden, impliziert. F\u00fcr libvpx liegt das Risikoniveau bei 5,9 von 10, was begrenzte Ausnutzungsbedingungen darstellt. Die Hauptgefahr der Schwachstellen in libaom und libvpx ergibt sich daraus, dass diese Bibliotheken in Webbrowsern, Media-Playern und Diensten eingesetzt werden, die Videokodierungen durchf\u00fchren. <\/p>\n
Die Schwachstelle tritt in libaom auf, wenn die Funktionen aom_img_alloc(), aom_img_wrap() oder aom_img_alloc_with_border() mit hohen Werten f\u00fcr die Parameter d_w, d_h und align aufgerufen werden, was zu einem \u00dcberlauf bei der Berechnung von Pufferverschiebungen und -gr\u00f6\u00dfen f\u00fchrt. Ein \u00e4hnlicher \u00dcberlauf tritt in den Funktionen vpx_img_alloc() und vpx_img_wrap() auf. Diese Funktionen werden beim Video-Encoding verwendet. <\/p>\n
Die Schwachstelle birgt die gr\u00f6\u00dfte Gefahr aufgrund der potenziellen M\u00f6glichkeit eines Angriffs auf Browser, in denen fr\u00fchere \u00e4hnliche Schwachstellen \u00fcber das \u00d6ffnen speziell gestalteter Seiten im Browser, die JavaScript-Funktionen zum Kodieren von Videos aufrufen, oder durch Manipulationen mit WebRTC ausgenutzt werden konnten. Laut Google beeintr\u00e4chtigt die Schwachstelle nicht die Chromium-Engine, da in den Funktionen aom_img_alloc(), aom_img_wrap(), vpx_img_alloc() und vpx_img_wrap() nur gepr\u00fcfte Werte f\u00fcr die Argumente d_w und d_h \u00fcbergeben wurden. In Firefox wird die dav1d-Bibliothek zum Decodieren von AV1 verwendet, aber f\u00fcr die Kodierung kommt libaom zum Einsatz. Ob Firefox betroffen ist, ist noch unklar, da Informationen dar\u00fcber, wie die Schwachstelle spezifische Produkte betrifft, noch nicht ver\u00f6ffentlicht wurden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"