В FFmpeg обнаружена серьезная уязвимость

В наборе библиотек для записи, конвертации и передачи цифровых аудио- и видеофайлов FFmpeg была обнаружена уязвимость раскрытия важных данных. Ошибка позволяют удаленному злоумышленнику раскрыть содержимое файлов на компьютере жертвы и переслать информацию по сети.

Уязвимость обнаружил специалист компании Mail.ru Максим Андреев во вторник, 12 января. Проблема существует из-за ошибки в реализации HLS (HTTP Live Streaming) – протокола, позволяющего транслировать медиаконтент по HTTP. Создав специально сформированный список воспроизведения с измененным расширением, злоумышленник может осуществить SSRF-атаку.

Модифицировав вышеуказанный файл путем добавки в конец параметра GET расширения «.txt» к HTTP URL целевого сервера, злоумышленник сможет в ходе SSRF-атаки прочитать ответ на любые сетевые запросы. При обработке файла FFmpeg создаст видеоролик, содержащий HTML-код из ответа сервера.

В настоящее время создатели FFmpeg работают над исправлением ошибки. В качестве временной меры по предотвращению эксплуатации уязвимости исследователь рекомендует отключить либо ограничить доступ к сети для FFmpeg, либо запускать набор библиотек в изолированном окружении.