リモートの Debian 11 ホストには、dla-4440 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4440-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2026 年 1 月 16 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : ffmpeg バージョン : 7:4.3.9-0+deb11u2 CVE ID : CVE-2023-6603 CVE-2024-36615 CVE-2025-1594 CVE-2025-7700 CVE-2025-9951 CVE-2025-10256 CVE-2025-63757 Debian バグ:

    FFmpeg マルチメディアフレームワークに複数の脆弱性が見つかりました。これにより、不正な形式のファイル / ストリームが処理された場合に、サービス拒否や任意コード実行が発生する可能性があります。

    CVE-2023-6603

        FFmpeg の HLS プレイリスト解析で欠陥が見つかりました。この脆弱性により、悪意を持って細工された HLS プレイリストによるサービス拒否が可能になります。これにより、初期化中に null ポインターデリファレンスが発生します。

    CVE-2024-36615

        FFmpeg n7.0 では、VP9 デコーダーに競合状態の脆弱性が存在します。これにより、出力スレッドで読み込まれる間にサイドデータがデコーダースレッドで添付されるため、ビデオエンコーディングパラメーターがエクスポートされると、データ競合が発生する可能性があります。

    CVE-2025-1594

        重要度最高として分類されている脆弱性が 7.1 までの FFmpeg で見つかりました。これは、コンポーネント AAC Encoder のファイル libavcodec/aacenc_tns.c の ff_aac_search_for_tns 関数に影響を与えます。この操作によりスタックベースのバッファオーバーフローが発生します。リモートから攻撃を仕掛けることが可能です。このエクスプロイトは一般に公開されており、使用される可能性があります。

    CVE-2025-7700

        FFmpegs ALS オーディオデコーダーに欠陥が見つかりました。メモリ割り当ての失敗を適切にチェックしません。これにより、特定の無効な形式のオーディオファイルを処理するときにアプリケーションがクラッシュする可能性があります。データの盗難やシステムのコントロールにはつながりませんが、サービスの中断やサービス拒否が引き起こされる可能性があります。

    CVE-2025-9951

        jpeg2000dec FFmpeg にヒープバッファオーバーフローの書き込みが存在します。これにより、攻撃者が JPEG2000 のチャネル定義 cdef atom を介して、リモートコード実行を取得したり、サービス拒否を引き起こしたりする可能性があります。

    CVE-2025-10256

        config_input() 関数の av_malloc_array() の戻り値がチェックされていないため、FFmpegs Firequalizerフィルター (libavfilter/af_firequalizer.c) に NULL ポインターデリファレンスの脆弱性があります。攻撃者がこれを悪用し、被害者を騙して Firequalizer フィルターを有効にして細工されたメディアファイルを処理させることで、アプリケーションが NULL ポインターをデリファレンスしてクラッシュし、サービス拒否を引き起こす可能性があります。

    CVE-2025-63757

        FFmpeg 8.0 の libswscale/output.c における yuv2ya16_X_c_template 関数にある整数オーバーフローの脆弱性。

    Debian 11 bullseye においては、これらの問題はバージョン 7:4.3.9-0+deb11u2 で修正されました。

    お使いの ffmpeg パッケージをアップグレードすることを推奨します。

    ffmpeg の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
    https://security-tracker.debian.org/tracker/ffmpeg

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian dsa-4440 : ffmpeg - セキュリティ更新

high Nessus プラグイン ID 291274

バージョン 1.3

バージョン 1.2

バージョン 1.1

バージョン 1.3 May 1, 2026, 7:22 AM IAVM reference Plugin Feed: 202605010722
バージョン 1.2 Feb 6, 2026, 8:56 AM CVSS metrics ("CVSSv2 score" set to 10.0) CVSS metrics ("CVSSv2 vector" set to "CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C") Plugin Feed: 202602060856
バージョン 1.1 Jan 17, 2026, 7:48 AM New Plugin Feed: 202601170748