Debian dla-4440 : ffmpeg - セキュリティ更新
high Nessus プラグイン ID 291274
Language:
概要
リモートの Debian ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。説明
リモートのDebian 11ホストには、dla-4440アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。-------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4440-1 [email protected] https://www.debian.org/lts/security/Carlos Henrique Lima Melara 氏 2026 年 1 月 16 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------
パッケージ ffmpeg バージョン 7:4.3.9-0+deb11u2 CVE ID CVE-2023-6603 CVE-2024-36615 CVE-2025-1594 CVE-2025-7700 CVE-2025-9951 CVE-2025-10256 CVE-2025-63757 Debian バグ
FFmpeg マルチメディアフレームワークに複数の脆弱性が見つかりました。これにより、不正な形式のファイル / ストリームが処理された場合に、サービス拒否や任意コード実行が発生する可能性があります。
CVE-2023-6603
FFmpeg の HLS プレイリスト解析で欠陥が見つかりました。この脆弱性により、悪意を持って細工された HLS プレイリストによるサービス拒否が可能になります。これにより、初期化中に null ポインターデリファレンスが発生します。
CVE-2024-36615
FFmpeg n7.0 では、VP9 デコーダーに競合状態の脆弱性が存在します。これにより、出力スレッドで読み込まれる間にサイドデータがデコーダースレッドで添付されるため、ビデオエンコーディングパラメーターがエクスポートされると、データ競合が発生する可能性があります。
CVE-2025-1594
重大に分類される脆弱性が、 までの FFmpeg で見つかりました 7.1。これは、コンポーネント AAC Encoder のファイル libavcodec/aacenc_tns.c の ff_aac_search_for_tns 関数に影響を与えます。この操作によりスタックベースのバッファオーバーフローが発生します。リモートから攻撃を仕掛けることが可能です。このエクスプロイトは一般に公開されており、使用される可能性があります。
CVE-2025-7700
FFmpegs ALS オーディオデコーダーに欠陥が見つかりました。メモリ割り当ての失敗を適切にチェックしません。これにより、特定の無効な形式のオーディオファイルを処理するときにアプリケーションがクラッシュする可能性があります。データの盗難やシステムのコントロールにはつながりませんが、サービスの中断やサービス拒否が引き起こされる可能性があります。
CVE-2025-9951
jpeg2000dec FFmpeg にヒープバッファオーバーフローの書き込みが存在します。これにより、攻撃者が JPEG2000、のチャネル定義 cdef atom を介して、リモートコードの実行を取得したり、サービス拒否を引き起こしたりする可能性があります。
CVE-2025-10256
config_input()関数のav_malloc_array()の戻り値がチェックされていないため、FFmpegs Firequalizerフィルターlibavfilter/af_firequalizer.cにNULLポインターデリファレンスの脆弱性があります。攻撃者がこれを悪用し、被害者を騙してFirequalizerフィルターを有効にして細工されたメディアファイルを処理させることで、アプリケーションにNULLポインターをデリファレンスしてクラッシュを引き起こし、サービス拒否を引き起こす可能性があります。
CVE-2025-63757
FFmpeg の libswscale/output.c における yuv2ya16_X_c_template 関数にある整数オーバーフローの脆弱性 8.0
Debian 11 bulletseye では、これらの問題はバージョン 7:4.3.9-0+deb11u2 で修正されました。
お使いの ffmpeg パッケージをアップグレードすることを推奨します。
ffmpeg の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/ffmpeg
Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名
Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
ffmpeg パッケージをアップグレードしてください。参考資料
https://security-tracker.debian.org/tracker/source-package/ffmpeg
https://security-tracker.debian.org/tracker/CVE-2023-6603
https://security-tracker.debian.org/tracker/CVE-2024-36615
https://security-tracker.debian.org/tracker/CVE-2025-10256
https://security-tracker.debian.org/tracker/CVE-2025-1594
https://security-tracker.debian.org/tracker/CVE-2025-63757
https://security-tracker.debian.org/tracker/CVE-2025-7700
プラグインの詳細
深刻度: High
ID: 291274
ファイル名: debian_DLA-4440.nasl
バージョン: 1.2
タイプ: local
エージェント: unix
ファミリー: Debian Local Security Checks
公開日: 2026/1/17
更新日: 2026/2/6
サポートされているセンサー: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2025-1594
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 7.9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
リスクファクター: High
Base Score: 7.2
Threat Score: 5.7
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:H/AT:N/PR:L/UI:N/VC:N/VI:H/VA:H/SC:N/SI:H/SA:H
CVSS スコアのソース: CVE-2025-9951
脆弱性情報
CPE: cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:ffmpeg-doc, p-cpe:/a:debian:debian_linux:libavcodec-dev, p-cpe:/a:debian:debian_linux:libavdevice-dev, p-cpe:/a:debian:debian_linux:libavfilter-dev, p-cpe:/a:debian:debian_linux:libavutil-dev, p-cpe:/a:debian:debian_linux:libswscale-dev, p-cpe:/a:debian:debian_linux:libavcodec-extra58, p-cpe:/a:debian:debian_linux:libavresample4, p-cpe:/a:debian:debian_linux:libavutil56, p-cpe:/a:debian:debian_linux:libpostproc55, p-cpe:/a:debian:debian_linux:libswresample3, p-cpe:/a:debian:debian_linux:libswscale5, p-cpe:/a:debian:debian_linux:ffmpeg, p-cpe:/a:debian:debian_linux:libavformat-dev, p-cpe:/a:debian:debian_linux:libpostproc-dev, p-cpe:/a:debian:debian_linux:libavcodec-extra, p-cpe:/a:debian:debian_linux:libavresample-dev, p-cpe:/a:debian:debian_linux:libavfilter-extra, p-cpe:/a:debian:debian_linux:libswresample-dev, p-cpe:/a:debian:debian_linux:libavcodec58, p-cpe:/a:debian:debian_linux:libavdevice58, p-cpe:/a:debian:debian_linux:libavfilter-extra7, p-cpe:/a:debian:debian_linux:libavfilter7, p-cpe:/a:debian:debian_linux:libavformat58
必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/1/16
脆弱性公開日: 2024/8/8
参照情報
CVE: CVE-2023-6603, CVE-2024-36615, CVE-2025-10256, CVE-2025-1594, CVE-2025-63757, CVE-2025-7700, CVE-2025-9951
IAVB: 2024-B-0110-S, 2025-B-0060-S, 2025-B-0150-S, 2025-B-0203