Стоп, а как злоумышленник получит содержимое файла-то? По сети отправится? То есть, там, выходит, выполнение произвольного кода? Зачем тогда так ветиевато писать, и так понятно, чем это может грозить (и не только этим). Решето, конечно, эпическое…

upd:

Перешёл по ссылке, стало понятно. Нет, не произвольный код. Но уязвимость всё равно эпичная.

В качестве мер защиты предлагается запускать ffmpeg в изолированном окружении, либо ограничить ему доступ к сети.

Можно просто пересобрать ffmpeg без поддержки HLS (HTTP Live Streaming). Уязвимость реализуется через него.

Лучше по ссылке перейти. Анон как обычно не умеет в новости.

Супер. По ссылке статья автора в подробностях применения.

#?

Придётся для фильмом в целях безопасности использовать венду

FFMpeg в Ubuntu используется для создания превью

По умолчанию же используется totem thumbnailer, который использует gstreamer

Или нет?

ffmpeg в изолированном окружении

Объясните, пожалуйста, как это? Создать отдельного позователя и под ним только кино смотреть, или как-то по-другому? Ну или ссылочку, куда копать.

Можно просто пересобрать ffmpeg без поддержки HLS (HTTP Live Streaming). Уязвимость реализуется через него.

Это оно?

+ + network                : Enables network streaming support

Решето!

Это логичное следствие запихивания в одну либу всего возможного барахла на свете.

Я правильно понимаю, что уязвимость эксплуатируется только в том случае, если я сам передам злоумышленнику получившийся видеофайл? То есть с моего десктопа нельзя так просто через эту дыру украсть файлы?

там в конце статьи автор писал, что это как-то неправильно считать уязвимостью самого ffmpeg
как бы это особенность протокола и его полная реализация

libav

libav как всегда не подвержена?

HLS (HTTP Live Streaming).

Пагади это значит школотвич и прочий гудгейм с скдватэвэ мона ламануть, да?)))))

Это вообще работа с сетью. На хабре пишут что достаточно добавить к опциям --disable-demuxer='hls,applehttp'. Но можно и отстрелить вообще всё общение с сетью, да...

Увы, подвержена

На хабре пишут что достаточно добавить к опциям --disable-demuxer='hls,applehttp'

Но такого юза нет, так что я отстрелил всю сеть от греха подальше.

отключи превьюшки и смотри, например,через totem (там libav в плагинах давно)

Объясните, пожалуйста, как это? Создать отдельного позователя и под ним только кино смотреть, или как-то по-другому? Ну или ссылочку, куда копать.

Использовать Qubes OS :)

Так лучшие плееры и кодеки под венду тоже используют ffmpeg.

Жаль, не удастся пошутить на эту тему. Не даром у меня сеть задизейблена для них - это весьма вероятный вектор атак, а уж учитывая что этот комбайн задействован повсюду…

Ну так , в виндовс 10 поддержку матрешки же добавили на радость анимешникам.

GPU декодирование из коробки работает, что еще надо?

я наоборот превьюшки переделавал с totem на ffmpeg, потому что первое глюкодромище

я их вообще везде и для всего отклчаю, т. к. ненужно

applehttp

так вот откуда всё зло идёт...

Существует такой формат видео, как HLS (HTTP Live Streaming). Он разработан компанией Apple для передачи потокового видео

Это заговор яблочников

Это логичное следствие запихивания в одну либу всего возможного барахла на свете.

Только мне послышалось systemd ? :-)

Только мне

Да, ты Избранный.

с totem'ом беда - он не умеет в vaapi/vdpau. попробую использовать gst-play - с ним тоже безопасно будет? кстати, libav же вроде форк ffmpeg'а - откуда инфа, что в нем нет такой же баги?

Это всё хорошо, но кто же делает вызов ffmpeg от имени root?

Тот же кто сервак от рута пускает :)

libav же вроде форк ffmpeg'а - откуда инфа, что в нем нет такой же баги?

а есть инфа что есть эта же бага?

А VLC как, он использует либы ffmpeg?

Ты не поверишь...

А можно адресок этого запускателя сервера от рута? Хочу к нему в душу заглянуть.

Да тысячи их.

поддержку матрешки

это контейнер, а не кодек. внутри всё тот же

GPU декодирование из коробки работает

оно самое

Решето позорное

А причем тут «от рута», или это комментарий к первой, серверной части баги? Всеравно не понимаю, где вы прочитали про рута?

Еще раз кратко, чем это грозит для пользователя: скачиваете файл, файловый менеджер запускает генератор превью на основе ffmpeg / запускаете проигрывание в плеере (который использует lib** из ffmpeg) и ваш любой локальный файл (путь и полное имя которого злоумышленник выбирает заранее, при подготовке файла) утекает через сеть на сервер хакера. Защититься для пользователя - пересобрать с отключенной сетью (не всегда удобно), с отключенным HLS demuxer'ом (99.9% вы его не используете в вашем плеере). Решение лучше - изолировать, т.к. мало ли где там еще можно сделать подобные трюки.

Лучше по ссылке перейти

А там видеофайл! И remote code execution!

Не даром у меня сеть задизейблена для них

А как же интернет-радио?

Нет, не правильно

Нет, не правильно

Почему? Я не вижу в оригинальной статье, как злоумышленник может заставить ffmpeg закачать файл куда-либо в сеть. ffmpeg может только скачать файл из сети (или с локального компьютера) и закодировать его в видео.

Как же нет? Там ближе к концу обьясняется. Если для превьюшек(к примеру) у тебя юзается ffmpeg, то скачав файл к себе на компьютер, можно заставить ffmpeg прочитать содержимое произвольного файла с правами пользователя и отправить на адрес, который содержится в скачанном тобой файле

Сотрудник Mail.ru

Местные элитарии как обычно саснулей :D

http://www.slideshare.net/MailRuGroup/security-meetup-22-mailru

Published on Oct 23, 2015

Какая, к чёрту, уязвимость? Уязвимостью это становится, когда человек начинает использовать программу как сервис без включения мозгов и чтения мануалов. По сути: они не фильтруют пользовательский ввод, а следовательно - ССЗБ. Или SQL инъекции это тоже баг в SQL сервере?

Gstreamer всего лишь обёртка над в том числе тем же ffmpeg.

Редактируй ебилд в локальном оверлее. Для других пакетов можно задействовать EXTRA_ECONF, но не для ffmpeg.

Это раз, а два: кто вообще не фильтрует пользовательский ввод? Банальный ffprobe, file, просто скрипт и форсирование формата на вводе. Ловкий трюк и разработчики сервиса-идиоты, не более.