LINUX.ORG.RU

Уязвимость в FFMpeg, позволяющая читать любые файлы в системе

 ,


6

6

Сотрудник Mail.ru Максим Андреев опубликовал информацию об уязвимости в популярном наборе свободных библиотек FFMpeg.

Если сформировать специальный видеофайл (расширение не имеет значения) и загрузить его на видеохостинг, то злоумышленник сможет прочесть любой файл на сервере. Если удастся каким-то образом заставить обычного пользователя скачать вредоносный файл (дать ему прямую ссылку, выложить на торрент-трекер), как минимум, можно узнать имя пользователя и какую-нибудь ещё непубличную информацию. В случае с Ubuntu FFmpeg передаст злоумышленнику первую строку указанного злоумышленником файла (например, /etc/passwd того пользователя, который просто скачал файл, даже не запуская его (FFMpeg в Ubuntu используется для создания превью, отображаемого в файловом менеджере).

Кроме того, уязвимости подвержены все видеопроигрыватели, использующие FFMpeg.

В качестве мер защиты предлагается запускать ffmpeg в изолированном окружении, либо ограничить ему доступ к сети.

>>> Подробности

anonymous

Проверено: JB ()
Последнее исправление: JB (всего исправлений: 1)
Ответ на: комментарий от Medar

Да. бегать по кругу целые сутки и орать «ААаааа! меня могут взломать!!!»

mittorn ★★★★★
()
Ответ на: комментарий от Medar

Так я не понял. Обычному пользователю на десктопе паниковать стоит?

создай отдельного юзера назови БРОУЗЕР,запрети ему все доступы в твой домашний каталог,везде кроме /home бля юзера браузер,и запускай браузер от имени юзера браузер

ну и про «аплоад» скорость незабывай-что она у большинства ниже 100кбайт/сек,тоесть аплоадить чтото приличное фактически невозможно

но учитывая что ffmpeg встроен в тойже PS3/4 или айфоне,или файрфоксе для винды-то да эта уязвимость дает больше возможностей для развертки ботнета,или взлома,но возможностей и так слишком много

anonymous
()
Ответ на: комментарий от anonymous

но учитывая что ffmpeg встроен в тойже PS3/4 или айфоне

Firefox на тестовый файл ругнулся и написал, что это не MP4 файл, а что это такое, он не знает. В нём свой код для разбора контейнеров, libavformat он для этого не пользуется. Скорее всего, так же и с остальными.

i-rinat ★★★★★
()
Ответ на: комментарий от anonymous

Зато решето там всё равно есть.

anonymous
()
Ответ на: комментарий от anonymous

У двоюродного брата в селе далеко за городом 2 мбита ADSL.

leg0las ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.