AOMedia (Open Media Alliance) arenduses paiknevas libaom teegis, mis pakub AV1 video kodeerimise formaadi standardset teostust, avastati kriitiline haavatavus (CVE-2024-5171), mis toob kaasa tĂ€isarvu ĂŒlevoolu ja mĂ€lupiirkonna kirjutamise, kui töödeldakse teatud parameetrite liiga suuri vÀÀrtusi. Sarnane haavatavus (CVE-2024-5197) leiti libvpx teegis, mis teostab VP8 ja VP9 koodekeid. Probleemid on lahendatud libaom versioonis 3.9.0 ja libvpx versioonis 1.14.1. Jaotustes jÀÀvad haavatavused siiski parandamata (Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD).
Libaomis mÀÀrati haavatustele maksimaalne ohtlikkuse tase (10/10), mis tÀhistab vÔimalust Àrakasutamiseks rakendustes, mis kasutavad seda teeki, spetsiaalselt kujundatud sisu töötlemisel. Libvpx ohtlikkuse tase on 5.9/10, mis vastab piiratud Àrakasutamise tingimustele. Libaomi ja libvpx haavatavuste peamine oht tuleneb sellest, et neid teeke kasutatakse veebibrauserites, meediamÀngijates ja teenustes, mis teostavad video kodeerimist.
Libaomi haavatavus ilmneb funktsioonide aom_img_alloc(), aom_img_wrap() vĂ”i aom_img_alloc_with_border() kutsumisel, kui parameetrites d_w, d_h ja align on suured vÀÀrtused, mis pĂ”hjustavad tĂ€isarvu ĂŒlevoolu, kui arvutatakse nihkeid ja puutĂŒkke. Sarnane ĂŒlevool toimub funktsioonides vpx_img_alloc() ja vpx_img_wrap(). Nimetatud funktsioone kasutatakse video kodeerimisel.
Haavatavus on kĂ”ige ohtlikum, kuna tekib potentsiaalne rĂŒnnaku vĂ”imalus brauserites, kus varasemad sarnased haavatavused vĂ”isid olla Ă€ra kasutatud spetsiaalselt kujundatud lehe avamise kaudu, mis kutsus esile JavaScripti funktsioone video kodeerimiseks, vĂ”i WebRTC manipuleerimise kaudu. Google'i esindajate sĂ”nul ei mĂ”juta haavatavus Chromiumi mootorit, kuna funktsioonides aom_img_alloc(), aom_img_wrap(), vpx_img_alloc() ja vpx_img_wrap() edastati ainult kontrollitud argumendi d_w ja d_h vÀÀrtused. Firefoxis kasutatakse AV1 dekodeerimiseks teeki dav1d, kuid kodeerimiseks kasutatakse libaomi. Kas Firefox on probleemi suhtes haavatav, pole veel selge, kuna teave selle kohta, kuidas haavatavus konkreetselt tooteid mĂ”jutab, ei ole veel avalikustatud.
Allikas: opennet.ru
