VDB-12098 · OSVDB 102675 · GCVE-100-12098

FFmpeg 2.1 libavcodec/h264.c ff_h264_check_intra_pred_mode メモリ破損

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
9.5	$0-$5k	0.00

要約情報

現在、FFmpeg 2.1にて、重大と分類される脆弱性が確認されています。影響を受けるのは関数ff_h264_check_intra_pred_mode ファイルlibavcodec/h264.cのです。引数の操作が、メモリ破損をもたらします。この問題の修正にはパッチの適用が推奨されます。

現在、FFmpeg 2.1にて、重大と分類される脆弱性が確認されています。影響を受けるのは関数ff_h264_check_intra_pred_mode ファイルlibavcodec/h264.cのです。引数の操作が、メモリ破損をもたらします。 CWEによる問題の宣言は、CWE-119 につながります。本件は 2013年10月29日に導入されています。この脆弱性は 2014年01月18日に Google Security Teamの Mateusz Jurczyk and Gynvael Coldwindより「GIT Repository」の GIT Commitにて「h264: limit allowed pred modes in ff_h264_check_intra_pred_mode() to 3」として紹介されました。アドバイザリはgit.videolan.orgでダウンロードできます。公開リリースはベンダーと調整されています。

技術的な情報が提供されています。この脆弱性の普及度は平均未満です。現在の時点で、エクスプロイトの価格はおおよそUSD $0-$5kかもしれません。

このエクスプロイトツールは未定義として宣言されています。脆弱性は少なくとも81日間、非公開のゼロデイエクスプロイトとして扱われていました。 0-dayの際、アンダーグラウンド市場での想定価格は$0-$5k前後でした。

修正プログラムはgit.videolan.orgでダウンロードできます。この問題の修正にはパッチの適用が推奨されます。脆弱性の開示からすぐに後に、可能な緩和策が公表されました。