Beveiligingsonderzoekers van Google hebben een kwetsbaarheid (CVE-2022-2566) ontdekt in de libavformat-bibliotheek, die deel uitmaakt van het multimediapakket FFmpeg. De kwetsbaarheid stelt een aanvaller in staat om code uit te voeren bij het verwerken van een speciaal aangepaste mp4-bestand op het systeem van het slachtoffer. De kwetsbaarheid doet zich voor vanaf de FFmpeg 5.1 tak en is verholpen in de release van FFmpeg 5.1.2.
De kwetsbaarheid wordt veroorzaakt door een rekenfout in de buffer grootte in de functie build_open_gop_key_points(), wat leidt tot een integer overflow bij het verwerken van bepaalde parameters en het toewijzen van een geheugenblok dat kleiner is dan vereist. Om de mogelijkheid van een aanval aan te tonen, is een prototype van de exploit gepubliceerd.
Bron: opennet.ru
