פגיעות ב-FFmpeg המאפשרת ביצוע קוד בעת עיבוד קבצי mp4

חוקרי אבטחה בגוגל זיהו פגיעות (CVE-2022-2566) בספריית libavformat הכלולה בחבילת המולטימדיה FFmpeg. הפגיעות מאפשרת להפעיל קוד זדוני כאשר קובץ mp4 שונה במיוחד מעובד במערכת של הקורבן. הפגיעות קיימת מאז ענף FFmpeg 5.1 ומתוקנת במהדורת FFmpeg 5.1.2.

הפגיעות נגרמת משגיאה בחישוב גודל המאגר בפונקציה build_open_gop_key_points(), מה שמוביל לגלישה של מספרים שלמים בעת עיבוד פרמטרים מסוימים והקצאת בלוק זיכרון קטן מהנדרש. אב טיפוס של ניצול פורסם כדי להדגים אפשרות של התקפה.

מקור: OpenNet.ru