Công bố chi tiết lỗ hổng thực thi mã từ xa CVE-2022-2566

[WhiteHat News #ID:3333]

Chuyên gia bảo mật Andy Nguyễn của Google vừa công bố mã khai thác PoC cho CVE-2022-2566. Đây là lỗi tràn bộ nhớ ảnh hưởng đến FFmpeg phiên bản 5.1 trở lên.

FFmpeg là một thư viện truyền thông đa phương tiện, có thể giải mã, mã hóa, chuyển mã, ghép kênh, phân kênh, phát trực tuyến, lọc và thực thi nhiều thứ do con người hoặc máy móc tạo ra

Theo MITE, “Lỗi ghi tràn bộ nhớ tồn tại trên FFMPEG kể từ phiên bản 5.1. Việc tính toán kích thước trong `build_open_gop_key_points ()` đi qua tất cả các mục trong vòng lặp và thêm `sc-> ctts_data .count` vào `sc-> sample_offsets_count`. Điều này có thể dẫn đến tràn số nguyên trong diện hẹp với `av_calloc ()`”.

Lỗi CVE-2022-2566 ảnh hưởng đến phiên bản 5.1 hoặc “commit” ab77b878f1205225c6de1370fb0e998dbcc8bc69 được phát hiện trong libavformat/mov.c.

Do PoC đã được phát hành nên người dùng sử dụng các phiên bản FFmpeg tồn tại lỗ hổng nên ưu tiên cập nhật các bản vá để giảm thiểu nguy cơ bị tấn công khai thác.

Theo: Security Online​