I ricercatori della sicurezza di Google hanno identificato una vulnerabilità (CVE-2022-2566) nella libreria libavformat, che fa parte del pacchetto multimediale FFmpeg. Questa vulnerabilità consente l'esecuzione del codice da parte di un attaccante quando un file mp4 appositamente modificato viene elaborato sul sistema della vittima. La vulnerabilità è presente a partire dalla versione FFmpeg 5.1 ed è stata risolta nella versione FFmpeg 5.1.2.
La vulnerabilità è causata da un errore nel calcolo della dimensione del buffer nella funzione build_open_gop_key_points(), che porta a un overflow intero durante l'elaborazione di determinati parametri e all'allocazione di un blocco di memoria di dimensioni inferiori a quelle necessarie. È stato pubblicato un prototipo di exploit per dimostrare la possibilità di un attacco.
Fonte: opennet.ru
