低危 FFmpeg缓冲区错误漏洞

CVE编号

CVE-2020-14212

利用情况

暂无

补丁情况

官方补丁

披露时间

2020-06-17

漏洞描述

FFmpeg是FFmpeg团队的一套可录制、转换以及流化音视频的完整解决方案。 FFmpeg 4.3及之前版本中的libavformat/aviobuf.c文件的avio_get_str存在缓冲区错误漏洞，该漏洞源于程序没有进行正确的边界检查。远程攻击者可利用该漏洞在系统上执行任意代码或导致应用程序崩溃。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：https://trac.ffmpeg.org/ticket/8716

参考链接
https://patchwork.ffmpeg.org/project/ffmpeg/list/?series=1463
https://security.gentoo.org/glsa/202007-58
https://trac.ffmpeg.org/ticket/8716

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	ffmpeg	ffmpeg	*	From (including) 4.3	Up to (excluding) 4.3.1
	运行在以下环境
	系统	alpine_3.12	ffmpeg	*		Up to (excluding) 4.3.1-r0
	运行在以下环境
	系统	alpine_3.13	ffmpeg	*		Up to (excluding) 4.3.1-r0
	运行在以下环境
	系统	alpine_3.14	ffmpeg	*		Up to (excluding) 4.3.1-r0
	运行在以下环境
	系统	alpine_3.15	ffmpeg	*		Up to (excluding) 4.3.1-r0
	运行在以下环境
	系统	alpine_3.16	ffmpeg	*		Up to (excluding) 4.3.1-r0
	运行在以下环境
	系统	alpine_3.17	ffmpeg	*		Up to (excluding) 4.3.1-r0
	运行在以下环境
	系统	alpine_3.18	ffmpeg	*		Up to (excluding) 4.3.1-r0
	运行在以下环境
	系统	alpine_edge	ffmpeg	*		Up to (excluding) 4.3.1-r0
	运行在以下环境
	系统	debian_10	ffmpeg	*		Up to (excluding) 4.1.9-0+deb10u1
	运行在以下环境
	系统	debian_11	ffmpeg	*		Up to (excluding) 7:4.3.1-1
	运行在以下环境
	系统	debian_12	ffmpeg	*		Up to (excluding) 7:4.3.1-1
	运行在以下环境
	系统	debian_sid	ffmpeg	*		Up to (excluding) 7:4.3.1-1

阿里云评分 3.3

• 攻击路径 本地
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 N/A
• 补丁情况 官方补丁
• 数据保密性 N/A
• 数据完整性 传输被破坏
• 服务器危害 DoS
• 全网数量 N/A

CWE-ID	漏洞类型
CWE-787	跨界内存写

Exp相关链接

- avd.aliyun.com