CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
6.3	$0-$5k	0.00

In FFmpeg bis 2.8.5 (Multimedia Processing Software) wurde eine kritische Schwachstelle ausgemacht. Das betrifft die Funktion jpeg2000_decode_tile der Datei libavcodec/jpeg2000dec.c der Komponente JPEG 2000 Data Handler. Durch das Manipulieren mit einer unbekannten Eingabe kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-119. Auswirken tut sich dies auf die Verfügbarkeit. Die Zusammenfassung von CVE lautet:

The jpeg2000_decode_tile function in libavcodec/jpeg2000dec.c in FFmpeg before 2.8.6 allows remote attackers to cause a denial of service (out-of-bounds array read access) via crafted JPEG 2000 data.

Die Schwachstelle wurde am 03.02.2016 durch Lucas Leong in Form eines bestätigten GIT Commits (GIT Repository) öffentlich gemacht. Das Advisory findet sich auf git.videolan.org. Die Verwundbarkeit wird seit dem 03.02.2016 als CVE-2016-2213 geführt. Der Angriff kann über das Netzwerk angegangen werden. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Eine Ausnutzung erfordert, dass das Opfer eine spezifische Handlung durchführt. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht.

Für den Vulnerability Scanner Nessus wurde am 08.02.2016 ein Plugin mit der ID 88604 (FreeBSD : ffmpeg -- remote denial of service in JPEG2000 decoder (6ac79ed8-ccc2-11e5-932b-5404a68ad561)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family FreeBSD Local Security Checks zugeordnet und im Kontext l ausgeführt.

Ein Aktualisieren auf die Version 2.8.6 vermag dieses Problem zu lösen. Die Schwachstelle lässt sich auch durch das Einspielen eines Patches lösen. Dieser kann von git.videolan.org bezogen werden. Als bestmögliche Massnahme wird das Upgrade auf eine neue Version empfohlen. Das Erscheinen einer Gegenmassnahme geschah 3 Tage nach der Veröffentlichung der Schwachstelle. Die Entwickler haben damit ziemlich schnell gehandelt.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von Tenable (88604) dokumentiert.

Produktinfo

Typ

• Multimedia Processing Software

Name

• FFmpeg

Version

• 2.8.0
• 2.8.1
• 2.8.2
• 2.8.3
• 2.8.4
• 2.8.5

Lizenz

• open-source

CPE 2.3info

• 🔍
• 🔍
• 🔍

CPE 2.2info

• 🔍
• 🔍
• 🔍

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.5
VulDB Meta Temp Score: 6.3

VulDB Base Score: 6.5
VulDB Temp Score: 6.2
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 6.5
NVD Vector: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Pufferüberlauf
CWE: CWE-119
ATT&CK: Unbekannt

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Nessus ID: 88604
Nessus Name: FreeBSD : ffmpeg -- remote denial of service in JPEG2000 decoder (6ac79ed8-ccc2-11e5-932b-5404a68ad561)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍

OpenVAS ID: 12024
OpenVAS Name: Mageia Linux Local Check: mgasa-2016-0060
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Upgrade: FFmpeg 2.8.6
Patch: 0aada30510d809bccfd539a90ea37b61188f2cb4

Timelineinfo

01.02.2016 🔍
01.02.2016 +0 Tage 🔍
03.02.2016 +2 Tage 🔍
03.02.2016 +0 Tage 🔍
03.02.2016 +0 Tage 🔍
05.02.2016 +2 Tage 🔍
06.02.2016 +1 Tage 🔍
08.02.2016 +2 Tage 🔍
17.03.2016 +38 Tage 🔍
07.07.2022 +2303 Tage 🔍

Quelleninfo

Produkt: ffmpeg.org

Advisory: git.videolan.org
Person: Lucas Leong
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2016-2213 (🔍)
SecurityTracker: 1034923
Vulnerability Center: 57385 - FFmpeg Remote DoS or Code Execution in libavcodec/jpeg2000dec.c, Medium
SecurityFocus: 82281 - FFmpeg 'jpeg2000dec.c' Denial of Service Vulnerability

Eintraginfo

Erstellt: 05.02.2016 09:47
Aktualisierung: 07.07.2022 06:50
Anpassungen: 05.02.2016 09:47 (73), 01.02.2019 14:41 (14), 07.07.2022 06:50 (5)
Komplett: 🔍

Diskussion

Do you want to use VulDB in your project?

Use the official API to access entries easily!