音声ファイルおよび動画ファイルを処理するためのマルチメディアライブラリlibavで、複数のセキュリティ問題が修正されました。

CVE-2017-17127

libavcodec / vc1dec.cのvc1_decode_frame関数において、リモート攻撃者が細工されたファイルを介してサービス拒否（NULLポインター間接参照やアプリケーションクラッシュ）攻撃を引き起こす可能性があります。CVE-2018-19130は、この脆弱性と同じものです。

CVE-2017-18245

libavformat/mpc8.cのmpc8_probe関数において、リモート攻撃者が32ビットシステム上で細工された音声ファイルを介してサービス拒否（ヒープベースのバッファーオーバーリード）攻撃を引き起こす可能性があります。

CVE-2018-19128

libavcodec/lcldec.cのdecode_frameにおけるヒープベースのバッファーオーバーリードにより、攻撃者が細工されたaviファイルを介してサービス拒否攻撃を引き起こす可能性があります。

CVE-2019-14443

libavcodec / apedec.cのrange_decode_culshiftのゼロ除算により、avconvで実証されているように、リモートの攻撃者がサービス拒否（アプリケーションクラッシュ）を引き起こす可能性があります。

CVE-2019-17542

libavcodec/vqavideo.cのvqa_decode_initでの配列外アクセスによる、vqa_decode_chunkでのヒープベースのバッファーオーバーフロー。

Debian 8「Jessie」では、これらの問題はバージョン6:11.12-1~deb8u9で修正されました。

お使いのlibavパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

FFmpegマルチメディアフレームワークにいくつかの脆弱性が見つかりました。これにより、不正な形式のファイル/ストリームが処理された場合に、サービス拒否や任意コードの実行につながる可能性があります。

広く使用されているマルチメディアフレームワークであるFFmpegによって、3.2.14から3.2.15の複数の脆弱性が修正されました。

CVE-2019-13390

rawenc: raw muxerに対して適切なストリームタイプのみを受け入れます。

CVE-2019-17542

vqa_decode_chunkでのヒープベースのバッファオーバーフロー。

CVE-2020-13904

m3u8ファイルの細工されたEXTINF期間によるUse-After-Free。

Debian 9「Stretch」では、これらの問題はバージョン7:3.2.15-0+deb9u1で修正されています。

いくつかの他のバグも3.2.15で修正されています。変更の完全なリストは https://git.ffmpeg.org/gitweb/ffmpeg.git/blob/37a8ad9a3167923d50091003 1a8086489c004d83で入手できます: /Changelog

お使いのffmpegパッケージをアップグレードすることを推奨します。

ffmpegの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/ffmpeg

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このffmpegの更新では、以下の問題が修正されます：

セキュリティの問題を修正：CVE-2019-17542：配列外のアクセスによるvqa_decode_chunkでのヒープバッファオーバーフローを修正しました（bsc#1154064）。

CVE-2019-12730：不適切なチェックによる変数の初期化されていない使用を修正しました（bsc#1137526）。

CVE-2019-9718：サブタイトルデコードでのサービス拒否を修正しました（bsc#1129715）。

CVE-2018-13301：細工されたAVIファイルをMPEG4に変換するときのサービス拒否を修正しました（bsc#1100352）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このffmpegの更新では、次の問題を修正します：

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-17542：配列外のアクセスによるvqa_decode_chunkでのヒープバッファオーバーフローを修正しました（bsc#1154064）。

CVE-2019-12730：不適切なチェックによる変数の初期化されていない使用を修正しました（bsc#1137526）。

CVE-2019-9718：サブタイトルデコードでのサービス拒否を修正しました（bsc#1129715）。

CVE-2018-13301：細工されたAVIファイルをMPEG4に変換するときのサービス拒否を修正しました（bsc#1100352）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

FFmpegが空のオーディオパケットまたはHEVCデータを不適切に検証していたことが判明しました。攻撃者がこの問題を悪用して、細工されたファイルによりサービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTSのみです。Ubuntu 18.04 LTSではこの問題がすでに修正されています。詳細情報については次の URL を参照してください：https://usn.ubuntu.com/usn/usn-3967-1  (CVE-2018-15822、CVE-2019-11338) FFmpegがsscanfの失敗を不適切に処理していることが判明しました。攻撃者がこの問題を悪用して、サービス拒否を引き起こしたり、詳細不明なその他の影響を与えたりする可能性があります。
この問題の影響を受けるのは、Ubuntu 16.04 LTSとUbuntu 18.04 LTSのみです。
(CVE-2019-12730) FFmpeg が特定の WEBM ファイルを不適切に処理していたことが判明しました。攻撃者がこの問題を悪用して、機密データを取得したり、他の不特定の影響を及ぼしたりする可能性があります。この問題の影響を受けるのは、Ubuntu 20.04 LTSのみです。(CVE-2019-13312) FFmpegが特定のAVIファイルを不適切に処理していることが判明しました。攻撃者がこの問題を悪用して、サービス拒否を引き起こしたり、詳細不明なその他の影響を与えたりする可能性があります。この問題の影響を受けるのはUbuntu 16.04 LTSおよびUbuntu 18.04 LTSのみです。(CVE-2019-13390) FFmpegが特定の入力を不適切に処理していることが判明しました。攻撃者がこの問題を悪用して、サービス拒否を引き起こしたり、詳細不明なその他の影響を与えたりする可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTSのみです。(CVE-2019-17539) FFmpegがVQAファイルのデコード中に特定の入力を不適切に処理していることが判明しました。攻撃者がこの問題を悪用して、機密情報を取得したり、他の不特定の影響を及ぼしたりする可能性があります。この問題の影響を受けるのはUbuntu 16.04 LTSおよびUbuntu 18.04 LTSのみです。(CVE-2019-17542) FFmpegが特定の入力を不適切に処理していることが判明しました。
攻撃者がこの問題を悪用して、機密情報を取得したり、他の不特定の影響を及ぼしたりする可能性があります。この問題の影響を受けるのは、Ubuntu 20.04 LTSのみです。(CVE-2020-12284) FFmpegが特定のM3U8ファイルを不適切に処理していることが判明しました。攻撃者がこの問題を悪用して、機密情報を取得したり、他の不特定の影響を及ぼしたりする可能性があります。(CVE-2020-13904)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
131740	Debian DLA-2021-1 : libav セキュリティ更新	Nessus	Debian Local Security Checks	2019/12/6	2024/4/5	critical
138365	Debian DSA-4722-1: ffmpeg - セキュリティ更新	Nessus	Debian Local Security Checks	2020/7/10	2024/3/1	critical
139008	Debian DLA-2291-1: ffmpegセキュリティ更新	Nessus	Debian Local Security Checks	2020/7/28	2024/2/28	critical
138253	SUSE SLED15 / SLES15セキュリティ更新プログラム：ffmpeg（SUSE-SU-2019:3184-2）	Nessus	SuSE Local Security Checks	2020/7/9	2020/12/7	critical
131756	SUSE SLED15 / SLES15セキュリティ更新プログラム：ffmpeg（SUSE-SU-2019:3184-1）	Nessus	SuSE Local Security Checks	2019/12/6	2024/4/5	critical
138875	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS : FFmpeg の脆弱性 (USN-4431-1)	Nessus	Ubuntu Local Security Checks	2020/7/23	2023/10/21	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical