FFmpeg 2.0 Channel Decoding Offset libavcodec/alac.c alac_decode_frame リモートコード実行
| CVSS 一時的なメタスコア | 現在のエクスプロイト価格 (≈) | CTI注目指数 |
|---|---|---|
| 5.4 | $0-$5k | 0.00 |
要約
このたび、FFmpeg 2.0において、問題があるに分類される脆弱性が見つかりました。 この脆弱性により影響を受けるのは、コンポーネント【Channel Decoding Offset Handler】のファイル【libavcodec/alac.c】に含まれる関数【alac_decode_frame】です。 操作結果として 不明な脆弱性につながります。 この脆弱性を修正するためにパッチを適用してください。
詳細
このたび、FFmpeg 2.0において、問題があるに分類される脆弱性が見つかりました。 この脆弱性により影響を受けるのは、コンポーネント【Channel Decoding Offset Handler】のファイル【libavcodec/alac.c】に含まれる関数【alac_decode_frame】です。 操作結果として 不明な脆弱性につながります。 2013年07月11日 にこの問題が導入されました。 この弱点は 2013年09月03日に発表されました 、Mateusz Jurczyk and Gynvael Coldwindによって 、Google Security Teamと共に 、alac: Check that the channels fit at the given offsetとして 、GIT Commitとして （GIT Repository）。 アドバイザリはgit.libav.orgでダウンロードできます。 公開リリースはベンダーと調整されています。
テクニカルな情報があります。 この脆弱性の人気度は平均より低いです。 現時点で、エクスプロイトツールの価格はおそらく米ドルで約$0-$5kです。
未定義 に指定されています。 この脆弱性は少なくとも54日間、非公開のゼロデイ攻撃として扱われていました。 0-dayの場合、推定されるアンダーグラウンドでの価格は約$0-$5kでした。
修正パッチはgit.libav.orgからダウンロード可能です。 この脆弱性を修正するためにパッチを適用してください。 脆弱性の公開後、すぐに 経過してから対策が公開されました。 アドバイザリには次のような記載があります：
The code tries to decode a number of channels at the offset given by the ff_alac_channel_layout_offsets table. Even if the number of channels decoded so far doesn't exceed the total number of channels, we need to check that we actually can decode that number of channels at this offset as well.
影響あり
- FFmpeg 2.0
- Libav 0.8.8/9.8
製品
タイプ
名前
バージョン
ライセンス
ウェブサイト
CPE 2.3
CPE 2.2
CVSSv4
VulDB ベクトル: 🔍VulDB 信頼性: 🔍
CVSSv3
VulDB ベースメタスコア: 5.6VulDB 一時的なメタスコア: 5.4
VulDB ベーススコア: 5.6
VulDB 一時的なスコア: 5.4
VulDB ベクトル: 🔍
VulDB 信頼性: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| ベクトル | 複雑さ | 認証 | 機密性 | 完全性 | 可用性 |
|---|---|---|---|---|---|
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
VulDB ベーススコア: 🔍
VulDB 一時的なスコア: 🔍
VulDB 信頼性: 🔍
悪用
クラス: リモートコード実行CWE: 不明
CAPEC: 🔍
ATT&CK: 🔍
物理的: いいえ
ローカル: いいえ
リモート: はい
可用性: 🔍
ステータス: 未定義
価格予測: 🔍
現在の価格評価: 🔍
| 0-Day | 解除 | 解除 | 解除 | 解除 |
|---|---|---|---|---|
| 本日 | 解除 | 解除 | 解除 | 解除 |
脅威インテリジェンス
関心: 🔍アクティブアクター: 🔍
アクティブなAPTグループ: 🔍
対策
推奨: パッチステータス: 🔍
リアクション時間: 🔍
0day日時: 🔍
暴露時間: 🔍
パッチ: git.libav.org
タイムライン
2013年07月11日 🔍2013年09月03日 🔍
2013年09月03日 🔍
2013年09月09日 🔍
2017年08月21日 🔍
ソース
製品: ffmpeg.org勧告: alac: Check that the channels fit at the given offset
調査者: Mateusz Jurczyk, Gynvael Coldwind
組織: Google Security Team
ステータス: 確認済み
調整済み: 🔍
GCVE (VulDB): GCVE-100-10152
OSVDB: 96944
その他: 🔍
関連情報: 🔍
エントリ
作成済み: 2013年09月09日 14:14更新済み: 2017年08月21日 08:44
変更: 2013年09月09日 14:14 (54), 2017年08月21日 08:44 (1)
完了: 🔍
Cache ID: 216::103
VulDB is the best source for vulnerability data and more expert information about this specific topic.
コメントはまだありません。 言語: ja + en.
コメントするにはログインしてください。