In una libreria libaom sviluppata dall'alleanza Open Media (AOMedia), che fornisce l'implementazione di riferimento del formato di codifica video AV1, è stata identificata una vulnerabilità critica (CVE-2024-5171), che porta a un overflow intero e a una scrittura in un'area al di fuori dei limiti del buffer durante l'elaborazione di valori troppo grandi in alcuni parametri. Una vulnerabilità analoga (CVE-2024-5197) è stata identificata nella libreria libvpx con l'implementazione dei codec VP8 e VP9. I problemi sono stati risolti negli aggiornamenti di libaom 3.9.0 e libvpx 1.14.1. Nelle distribuzioni, le vulnerabilità rimangono ancora non risolte (Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD).
Alle vulnerabilità in libaom è stato assegnato il livello massimo di pericolo (10 su 10), suggerendo la possibilità di sfruttamento durante l'elaborazione nelle applicazioni che utilizzano questa libreria, particolarmente con contenuti appositamente configurati. Per libvpx, il livello di pericolo è stato fissato a 5.9 su 10, corrispondente a condizioni di sfruttamento limitate. Il principale rischio delle vulnerabilità in libaom e libvpx è dovuto al fatto che queste librerie vengono utilizzate nei browser web, nei lettori multimediali e nei servizi che effettuano la ricodifica di video.
La vulnerabilità si manifesta in libaom quando vengono chiamate le funzioni aom_img_alloc(), aom_img_wrap() o om_img_alloc_with_border() con grandi valori nei parametri d_w, d_h e align, che portano a un overflow intero nel calcolo degli offset e delle dimensioni dei buffer. Un overflow simile si verifica nelle funzioni vpx_img_alloc() e vpx_img_wrap(). Queste funzioni vengono utilizzate durante la codifica video.
La vulnerabilità rappresenta il maggior rischio a causa della potenziale possibilità di attacco ai browser, dove vulnerabilità simili del passato potrebbero essere state sfruttate attraverso l'apertura in un browser di una pagina appositamente configurata che richiama funzioni JavaScript per la codifica video, o mediante manipolazioni con WebRTC. Secondo i rappresentanti di Google, la vulnerabilità non colpisce il motore Chromium, poiché nelle funzioni aom_img_alloc(), aom_img_wrap(), vpx_img_alloc() e vpx_img_wrap() sono stati passati solo valori di argomento verificati per d_w e d_h. In Firefox, per la decodifica AV1 viene utilizzata la libreria dav1d, ma per la codifica viene utilizzata libaom. Non è ancora chiaro se Firefox sia vulnerabile al problema, poiché le informazioni su come la vulnerabilità influisca su prodotti specifici non sono ancora state pubblicate.
Fonte: opennet.ru
