Nella libreria libaom, sviluppata dall'alleanza Open Media (AOMedia) e che fornisce un'implementazione di riferimento del formato di codifica video AV1, è stata trovata una vulnerabilità critica (CVE-2024-5171) che porta a un overflow di interi e a scritture al di fuori dei limiti del buffer durante l'elaborazione di valori eccessivamente grandi in alcuni parametri. Una vulnerabilità simile (CVE-2024-5197) è stata trovata nella libreria libvpx, che implementa i codec VP8 e VP9. I problemi sono stati risolti negli aggiornamenti libaom 3.9.0 e libvpx 1.14.1. Nelle distribuzioni, le vulnerabilità rimangono ancora irrisolte (Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD).
La vulnerabilità in libaom ha ricevuto il livello di pericolo massimo (10 su 10), implicando la possibilità di sfruttamento durante l'elaborazione in applicazioni che utilizzano questa libreria, con contenuti appositamente formulati. In libvpx, il livello di pericolo è stato fissato a 5.9 su 10, corrispondente a condizioni di sfruttamento limitate. Il principale rischio delle vulnerabilità in libaom e libvpx è dato dal fatto che queste librerie sono utilizzate nei browser web, nei lettori multimediali e nei servizi che effettuano la ricodifica video.
La vulnerabilità si manifesta in libaom quando si chiamano le funzioni aom_img_alloc(), aom_img_wrap() o aom_img_alloc_with_border() con grandi valori nei parametri d_w, d_h e align, che portano a un overflow di interi durante il calcolo degli spostamenti e delle dimensioni dei buffer. Un'analoga condizione di overflow si verifica nelle funzioni vpx_img_alloc() e vpx_img_wrap(). Le suddette funzioni sono utilizzate per la codifica video.
La vulnerabilità rappresenta un rischio significativo a causa della potenziale possibilità di attacco ai browser, in cui precedenti vulnerabilità simili potrebbero essere state sfruttate attraverso l'apertura in un browser di una pagina appositamente formulata, che richiama funzioni JavaScript per la codifica video, o tramite manipolazioni con WebRTC. Secondo quanto dichiarato dai rappresentanti di Google, la vulnerabilità non colpisce il motore Chromium, poiché nelle funzioni aom_img_alloc(), aom_img_wrap(), vpx_img_alloc() e vpx_img_wrap() sono stati passati solo valori di argomenti d_w e d_h verificati. In Firefox per la decodifica dell'AV1 viene utilizzata la libreria dav1d, ma per la codifica è impiegata libaom. Non è ancora chiaro se Firefox sia vulnerabile, poiché non sono state pubblicate informazioni su come la vulnerabilità influisca su prodotti specifici.
Fonte: opennet.ru
