JVNVU#92302510
FFmpeg および Libav に情報漏えいの脆弱性

FFmpeg は、"cross-platform solution to record, convert and stream audio and video (様々なプラットフォームに対応した、音声・映像を記録・変換・配信するためのソフトウェア)" です。FFmpeg には、プレイリストファイルの処理におけるドメイン制限に問題があり、ローカルファイルの情報が漏えいする脆弱性が存在します。

• FFmpeg 2.8.5 より前のバージョン
• Libav

データ送信による情報漏えい (CWE-201) - CVE-2016-1897, CVE-2016-1898
細工されたプレイリストファイルを FFmpeg で開くと、FFmpeg はリモートのデータをサーバに問い合わせます。攻撃者がプレイリストを巧妙に細工することで、FFmpeg に対して URI にリクエストを送信させることができます。その URI には、file:// で指定されたユーザのシステム上のファイルの内容が含まれるため、ファイルの情報が漏えいします。CVE-2016-1897 はプレイリストの連結処理を使用した問題、CVE-2016-1898 はサブファイルに関する問題を指しています。

MITRE の CVE チームによるメーリングリストへの投稿には次のように記載されています:

"The essential problem is that a crafted file forces the victim to visit an arbitrary external URL, but this URL is constructed using data from the victim's local filesystem."
根本となる問題は、細工されたファイルによって被害者が任意の外部 URL にアクセスさせられ、この URL が被害者のローカルファイルシステムのデータを使用して作成されている点にあります。

細工されたプレイリストファイルを FFmpeg または Libav で処理することで、遠隔の攻撃者にローカルのファイル内容を取得される可能性があります。
ファイルマネージャによるサムネイル表示などの処理によって、ユーザが明示的に操作しなくても本脆弱性の影響を受ける可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
FFmpeg 2.8.5 で本脆弱性が修正されています。