VDB-11747 · OSVDB 101832 · GCVE-100-11747

FFmpeg 2.1 luma/chroma Bit Depths リモートコード実行

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
5.4	$0-$5k	0.00

要約情報

このたび、FFmpeg 2.1において、問題があるに分類される脆弱性が見つかりました。影響を受けるのは、コンポーネント【luma/chroma Bit Depths Handler】の未知の関数です。未知の値で改ざんすることが、未知の弱点を突く攻撃に繋がります}。この脆弱性を修正するためにパッチを適用してください。

このたび、FFmpeg 2.1において、問題があるに分類される脆弱性が見つかりました。影響を受けるのは、コンポーネント【luma/chroma Bit Depths Handler】の未知の関数です。未知の値で改ざんすることが、未知の弱点を突く攻撃に繋がります}。このバグは 2013年10月29日で紹介されました。この弱点は 2014年01月06日に発表されました、Mateusz Jurczyk and Gynvael Coldwindによって、Google Security Teamと共に、h264: reject mismatching luma/chroma bit depths during sps parsingとして、GIT Commitとして（GIT Repository）。アドバイザリーは git.videolan.org から入手可能です。一般公開はベンダーとの協力で行われています。

テクニカルな情報はありません。この脆弱性の普及度は平均未満です。エクスプロイトツールの現在の価格はおそらく米ドルで約$0-$5kです。

未定義に指定されています。脆弱性は、少なくとも 69 日の間、非公開の0day攻撃ツールとして扱われました。 0-dayの場合、推定されるアンダーグラウンドでの価格は約$0-$5kでした。

修正パッチはgit.videolan.orgからダウンロード可能です。この脆弱性を修正するためにパッチを適用してください。脆弱性の公開後、すぐに経過してから対策が公開されました。