В наборе библиотек для записи, конвертации и передачи цифровых аудио- и видеофайлов FFmpeg была обнаружена уязвимость раскрытия важных данных. Ошибка позволяют удаленному злоумышленнику раскрыть содержимое файлов на компьютере жертвы и переслать информацию по сети.
Уязвимость обнаружил специалист компании Mail.ru Максим Андреев во вторник, 12 января. Проблема существует из-за ошибки в реализации HLS (HTTP Live Streaming) – протокола, позволяющего транслировать медиаконтент по HTTP. Создав специально сформированный список воспроизведения с измененным расширением, злоумышленник может осуществить SSRF-атаку.
Модифицировав вышеуказанный файл путем добавки в конец параметра GET расширения “.txt” к HTTP URL целевого сервера, злоумышленник сможет в ходе SSRF-атаки прочитать ответ на любые сетевые запросы. При обработке файла FFmpeg создаст видеоролик, содержащий HTML-код из ответа сервера.
В настоящее время создатели FFmpeg работают над исправлением ошибки. В качестве временной меры по предотвращению эксплуатации уязвимости исследователь рекомендует отключить либо ограничить доступ к сети для FFmpeg, либо запускать набор библиотек в изолированном окружении. (Новости/NovostIT)
