FFmpegが特定のマルチメディアファイルを処理するときに、複数のセキュリティの問題があることがわかりました。ユーザーが誘導されて細工されたマルチメディアファイルを開くと、攻撃者がアプリケーションをクラッシュさせ、サービス拒否を引き起こす可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

FFmpegマルチメディアフレームワークにいくつかの脆弱性が見つかりました。これにより、不正な形式のファイル/ストリームが処理された場合に、サービス拒否や任意コードの実行につながる可能性があります。

このffmpeg-4の更新では、次の問題を修正します：

ffmpeg-4がバージョン4.0.5に更新しました 。boo#1133153を修正します 

  - CVE-2019-11339：FFmpeg 4.0内のlibavcodec/mpeg4videodec.cのスタジオプロファイルデコーダーにより、リモート攻撃者が、サービス拒否（配列外アクセス）を引き起こしたり、詳細不明な影響を及ぼしたりする可能性がありました。（bsc#1133153）

  - その他の変更については、/usr/share/doc/packages/libavcodec58/Changelogを参照してください

バージョン 4.2.1 に更新してください：

  - 安定したバグの修正リリース。主にコーデックと形式の修正。

  - CVE-2019-15942：条件付きジャンプや移動が、h2645_parse内の初期化されていない値の問題に依存します（boo#1149839）

FFmpeg 4.2 'Ada'への更新

  - tpadフィルター

  - libdav1dを通したAV1デコーディングのサポート

  - dedotフィルター

  - chromashiftフィルターとrgbashiftフィルター

  - freezedetectフィルター

  - truehd_coreビットストリームフィルター

  - dhavデマルチプレクサー

  - PCM-DVDエンコーダー

  - GIFパーサー

  - vividasデマルチプレクサー

  - hymtデコーダー

  - anlmdnフィルター

  - maskfunフィルター

  - hcomデマルチプレクサーおよびデコーダー

  - ARBCデコーダー

  - libaribb24ベースのARIB STD-B24キャプションのサポート（プロファイルAおよびC）

  - nvdecとcuviddecでHEVC 4：4：4コンテンツのデコーディングをサポートします

  - libndi-newtekを削除しました

  - agmデコーダー

  - KUXデマルチプレクサー

  - AV1フレーム分割ビットストリームフィルター

  - lscrデコーダー

  - lagfunフィルター

  - asoftclipフィルター

  - HEVC 4 4：4コンテンツのデコーディングをサポートします

  - colorholdフィルター

  - xmedianフィルター

  - asrフィルター

  - showpatialマルチメディアフィルター

  - VP4ビデオデコーダー

  - IFVデマルチプレクサー

  - derainフィルター

  - deesserフィルター

  - mov muxerは、デフォルトで英語ではなく詳細不明な言語でトラックを書き込みます

  - CUDAカーネルのコンパイルにclangを使用するためのサポートを追加しました

  - 完全な変更ログについては、/usr/share/doc/packages/ffmpeg-4/Changelogを参照してください。

バージョン4.1.4への更新

  - 完全な変更ログについては、/usr/share/doc/packages/ffmpeg-4/Changelogを参照してください。

  - 経由のfdkaacのランタイム有効化を有効にします
    --enable-libfdk-aac-dlopen

バージョン 4.1.3 に更新してください：

  - コーデック、フィルター、および形式の更新とバグ修正。
    （boo#1133153、boo#1133155、CVE-2019-11338、CVE-2019-11339]

バージョン 4.1.2 に更新してください：

  - コーデック、フィルター、および形式の更新とバグ修正。

バージョン 4.1.1 に更新してください：

  - さまざまなフィルターとコーデックの修正と強化。

  - configure：VAAPI X11コードの欠落していたxlib依存関係を追加します。

  - 完全な変更ログについては、/usr/share/doc/packages/ffmpeg-4/Changelogを参照してください

  - x86_64上のAV1サポートを有効にします

ffmpegの4.1へ更新：

  - 通常どおりのフィルターの更新：deblock、tmix、aplify、fftdnoiz、aderivative、aintegral、pal75bars、pal100bars、adeclick、adeclip、lensfun（ラッパー）、colorconstancy、1D LUTフィルター（lut1d）、cue、acue、transpose_npp、amultiply、Block-Matching 3d（bm3d）、denoisingフィルター、acrossoverフィルター、afftdnフィルターとしてのオーディオノイズ除去器、sincオーディオフィルターソース、chromahold、setparams、vibrance、xstack、（a）graphmonitorフィルター、yadif_cudaフィルター。

  - AV1パーサー

  - MP4でのAV1のサポート

  - PCM VIDCデコーダーおよびエンコーダー

  - srcnnのようなDNNベースのフィルター用のlibtensorflowバックエンド

  - -- サードパーティビルドでのみ有効：

  - ATRAC9デコーダー

  - libdavs2経由のAVS2ビデオデコーダー

  - IMM4ビデオデコーダー

  - Brooktree ProSumerビデオデコーダー

  - MatchWareスクリーンキャプチャコーデックデコーダー

  - WinCamモーションビデオデコーダー

  - RemotelyAnywhereスクリーンキャプチャデコーダー

  - libxavs2経由のAVS2ビデオデコーダー

  - ILBCデコーダー

  - SERデマルチプレクサー

  - H264でのS12Mタイムコードのデコード

  - 完全な変更ログについては、https://git.ffmpeg.org/gitweb/ffmpeg.git/shortlog/n4.1を参照してください

ffmpegの4.0.3へ更新：

  - 完全な変更ログについては、https://git.ffmpeg.org/gitweb/ffmpeg.git/shortlog/n4.0.3を参照してください

  - CVE-2018-13305：mqaunt変数の負の値に対する欠落していたチェックを追加しました（boo#1100345）。

libavマルチメディアライブラリの複数のデマルチプレクサーおよびデコーダーで、さらに2つのセキュリティの問題が修正されています。

CVE-2018-15822

libavのlibavformat/flvenc.cのflv_write_packet関数が、空の音声パケットをチェックしなかったため、アサーションが失敗しました。

CVE-2019-11338

libavのlibavcodec/hevcdec.cが、重複する最初のスライスの検出を誤って処理していたため、リモート攻撃者が、細工されたHEVCデータを介してサービス拒否（NULLポインタデリファレンスおよび配列外アクセス）を引き起こしたり、不特定の他の影響を与える可能性がありました。

Debian 8「Jessie」では、これらの問題はバージョン6:11.12-1~deb8u7で修正されました。

お使いのlibavパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

FFmpegが空のオーディオパケットまたはHEVCデータを不適切に検証していたことが判明しました。攻撃者がこの問題を悪用して、細工されたファイルによりサービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTSのみです。Ubuntu 18.04 LTSではこの問題がすでに修正されています。詳細情報については次の URL を参照してください：https://usn.ubuntu.com/usn/usn-3967-1  (CVE-2018-15822、CVE-2019-11338) FFmpegがsscanfの失敗を不適切に処理していることが判明しました。攻撃者がこの問題を悪用して、サービス拒否を引き起こしたり、詳細不明なその他の影響を与えたりする可能性があります。
この問題の影響を受けるのは、Ubuntu 16.04 LTSとUbuntu 18.04 LTSのみです。
(CVE-2019-12730) FFmpeg が特定の WEBM ファイルを不適切に処理していたことが判明しました。攻撃者がこの問題を悪用して、機密データを取得したり、他の不特定の影響を及ぼしたりする可能性があります。この問題の影響を受けるのは、Ubuntu 20.04 LTSのみです。(CVE-2019-13312) FFmpegが特定のAVIファイルを不適切に処理していることが判明しました。攻撃者がこの問題を悪用して、サービス拒否を引き起こしたり、詳細不明なその他の影響を与えたりする可能性があります。この問題の影響を受けるのはUbuntu 16.04 LTSおよびUbuntu 18.04 LTSのみです。(CVE-2019-13390) FFmpegが特定の入力を不適切に処理していることが判明しました。攻撃者がこの問題を悪用して、サービス拒否を引き起こしたり、詳細不明なその他の影響を与えたりする可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTSのみです。(CVE-2019-17539) FFmpegがVQAファイルのデコード中に特定の入力を不適切に処理していることが判明しました。攻撃者がこの問題を悪用して、機密情報を取得したり、他の不特定の影響を及ぼしたりする可能性があります。この問題の影響を受けるのはUbuntu 16.04 LTSおよびUbuntu 18.04 LTSのみです。(CVE-2019-17542) FFmpegが特定の入力を不適切に処理していることが判明しました。
攻撃者がこの問題を悪用して、機密情報を取得したり、他の不特定の影響を及ぼしたりする可能性があります。この問題の影響を受けるのは、Ubuntu 20.04 LTSのみです。(CVE-2020-12284) FFmpegが特定のM3U8ファイルを不適切に処理していることが判明しました。攻撃者がこの問題を悪用して、機密情報を取得したり、他の不特定の影響を及ぼしたりする可能性があります。(CVE-2020-13904)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
124678	Ubuntu 18.04 LTS : FFmpeg の脆弱性 (USN-3967-1)	Nessus	Ubuntu Local Security Checks	2019/5/7	2023/10/21	high
125344	DebianDSA-4449-1: ffmpeg - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/5/23	2024/5/21	high
132910	openSUSEセキュリティ更新プログラム：ffmpeg-4（openSUSE-2020-24）	Nessus	SuSE Local Security Checks	2020/1/15	2024/3/29	high
125555	DebianDLA-1809-1: libavのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/5/30	2024/5/17	high
138875	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS : FFmpeg の脆弱性 (USN-4431-1)	Nessus	Ubuntu Local Security Checks	2020/7/23	2023/10/21	critical

検出

プラグインの検索

high

high

high

high

critical