VDB-11723 · OSVDB 101747 · GCVE-100-11723

FFmpeg 2.1 libavcodec/alsdec.c revert_channel_correlation リモートコード実行

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
5.4	$0-$5k	0.00

要約情報

現在、FFmpeg 2.1にて、問題があると分類される脆弱性が確認されています。影響を受けるのは、ファイル【libavcodec/alsdec.c】に含まれる関数【revert_channel_correlation】です。未知の値で改ざんすることが、未知の弱点を突く攻撃に繋がります}。この問題の修正にはパッチの適用が推奨されます。

現在、FFmpeg 2.1にて、問題があると分類される脆弱性が確認されています。影響を受けるのは、ファイル【libavcodec/alsdec.c】に含まれる関数【revert_channel_correlation】です。未知の値で改ざんすることが、未知の弱点を突く攻撃に繋がります}。このバグは 2013年10月29日で紹介されました。この脆弱性は 2013年12月29日に Google Security Teamの Mateusz Jurczyk and Gynvael Coldwindより「GIT Repository」の GIT Commitにて「avcodec/alsdec: skip cases where the master channel equals the current channel」として紹介されました。アドバイザリはgit.videolan.orgで提供されています。ベンダーと連携して公開リリースが実施されました。

技術的な情報が提供されています。この脆弱性の普及度は平均未満です。エクスプロイトツールの現在の価格はおそらく米ドルで約$0-$5kです。

このエクスプロイトツールは未定義として宣言されています。脆弱性は、少なくとも 61 日の間、非公開の0day攻撃ツールとして扱われました。 0-dayの際、アンダーグラウンド市場での想定価格は$0-$5k前後でした。

修正プログラムはgit.videolan.orgでダウンロードできます。この問題の修正にはパッチの適用が推奨されます。脆弱性の開示からすぐに後に、可能な緩和策が公表されました。