BDU:2025-11470

Опубликовано: 27 дек. 2024

Источник: fstec

CVSS3: 7.2

CVSS2: 6.4

EPSS Низкий

Описание

Уязвимость мультимедийной библиотеки FFmpeg связана с неправильным контролем идентификаторов ресурсов («внедрение ресурсов»). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации и нарушить её целостность

Вендор

Canonical Ltd.

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

FFmpeg team

АО "НППКТ"

Наименование ПО

Ubuntu

Debian GNU/Linux

Astra Linux Special Edition

FFmpeg

ОСОН ОСнова Оnyx

Версия ПО

16.04 LTS (Ubuntu)

9 (Debian GNU/Linux)

18.04 LTS (Ubuntu)

8 (Debian GNU/Linux)

10 (Debian GNU/Linux)

20.04 LTS (Ubuntu)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

22.04 LTS (Ubuntu)

24.04 LTS (Ubuntu)

1.8 (Astra Linux Special Edition)

25.04 (Ubuntu)

13 (Debian GNU/Linux)

до 4.2.11: (FFmpeg)

от 4.3.0 до 4.3.9 (FFmpeg)

от 4.4.0 до 4.4.6 (FFmpeg)

от 5.0.0 до 7.1.1 (FFmpeg)

до 2.14 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 16.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Canonical Ltd. Ubuntu 18.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Canonical Ltd. Ubuntu 20.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Canonical Ltd. Ubuntu 22.04 LTS

Canonical Ltd. Ubuntu 24.04 LTS

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Canonical Ltd. Ubuntu 25.04

Сообщество свободного программного обеспечения Debian GNU/Linux 13

АО "НППКТ" ОСОН ОСнова Оnyx до 2.14

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,2)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для FFmpeg:

использование рекомендаций производителя: https://github.com/FFmpeg/FFmpeg/commit/4c96d6bf75357ab13808efc9f08c1b41b1bf5bdf

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2023-6605

Для Ubuntu:

https://ubuntu.com/security/CVE-2023-6605

Для Debian GNU/Linux:

использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2023-6605

Для ОС Astra Linux:

обновить пакет ffmpeg до 7:5.1.6-0+deb12u1.astra2+ci6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0904SE18MD

Для ОС Astra Linux:

- обновить пакет ffmpeg до 7:4.1.11-0+deb10u4+ci4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0923SE17

- обновить пакет ffmpeg5 до 7:5.1.3-4astra1+ci5 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0923SE17

Обновление программного обеспечения ffmpeg до версии 7:4.3.9-0+deb11u1

Для ОС Astra Linux:

- обновить пакет ffmpeg до 7:4.1.11-0+deb10u4+ci4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1020SE47

- обновить пакет ffmpeg5 до 7:5.1.3-4astra1+ci5 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1020SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-6605
CVE

EPSS

Процентиль: 38%

0.00169

Низкий

7.2 High

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

CVE-2023-6605

CVSS3: 7.2

ubuntu

около 1 года назад

A flaw was found in FFmpeg's DASH playlist support. This vulnerability allows arbitrary HTTP GET requests to be made on behalf of the machine running FFmpeg via a crafted DASH playlist containing malicious URLs.

CVE-2023-6605

CVSS3: 7.2

nvd

около 1 года назад

CVE-2023-6605

CVSS3: 7.2

debian

около 1 года назад

A flaw was found in FFmpeg's DASH playlist support. This vulnerability ...

GHSA-6r4h-f9rf-frm2

CVSS3: 7.2

github

около 1 года назад

EPSS

Процентиль: 38%

0.00169

Низкий

7.2 High

CVSS3

6.4 Medium

CVSS2