DFN-CERT-2012-1165 Mehrere Schwachstellen in FFmpeg [Linux][Debian]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket ffmpeg in Debian GNU/Linux 6.0 (squeeze) vor Version 4:0.5.9-1
Paket ffmpeg in Debian GNU/Linux unstable (sid) vor Version 6:0.8.3-1

Betroffene Plattformen:

Debian GNU/Linux 6.0 (squeeze)
Debian GNU/Linux unstable (sid)

Mehrere Schwachstellen in Komponenten von FFmpeg erlauben entfernten
Angreifern mittels einer präparierten Mediendatei die Anwendung zum Absturz
zu bringen oder weitere, nicht näher spezifizierte Angriffe durchzuführen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://security.debian.org/pool/updates/main/

CVE-2011-3951: Schwachstelle in FFmpeg (DPCM)

In der Datei dpcm.c des DPCM-Codec von FFmpeg ist eine Schwachstelle in
Verbindung mit “extra unpaired”-Bytes in Stereoströmen vorhanden. Eine
genaue Beschreibung der Auswirkungen ist nicht verfügbar.

CVE-2011-3952: Schwachstellen in FFmpeg (KMVC)

Im KMVC-Decoder von FFmpeg ist eine nicht näher beschriebene Schwachstelle
vorhanden.

CVE-2012-0852: Schwachstelle in FFmpeg (ADPCM)

Im ADPCM-Codec von FFmpeg ist eine nicht näher beschriebene Schwachstelle
vorhanden. Ein entfernter Angreifer kann mittels einer präparierten
Mediendatei die Anwendung zum Absturz bringen, falls ein Benutzer die Datei
öffnet.

CVE-2012-0851: Schwachstelle in FFmpeg (H.264)

Im H.264-Codec von FFmpeg ist eine nicht näher beschriebene Schwachstelle
vorhanden. Ein entfernter Angreifer kann mittels einer präparierten
Mediendatei die Anwendung zum Absturz bringen, falls ein Benutzer die Datei
öffnet.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-1165/

Das Hersteller Advisory:
http://www.debian.org/security/2012/dsa-2494

Schwachstelle CVE-2011-3951:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3951

Schwachstelle CVE-2011-3952:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3952

Schwachstelle CVE-2012-0851:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-0851

Schwachstelle CVE-2012-0852:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-0852