ffdshow audio and video codecに致命的な脆弱性

インターネット セキュリティ

　ffdshowにオーバーフローを起こす脆弱性がある．これによって，悪意のある者によってリモートから任意のコードを実行される危険性がある．これは，非常に長いURLを解釈するときにエラーが起こることによる．それによって，オーバーフローを起こし，任意のコードを対象PCにて実行させることが可能になるとのこと．影響を受けるバージョンは「rev2347以前(20081123)」のバージョン．この問題の対策として，最新のバージョンにアップデートするように推奨されている．


　Critical vulnerability in ffdshow audio and video codec - heiseSecurity
　ffdshow URL Processing Buffer Overflow Vulnerability - Secunia
　Critical BoF vulnerability found in ffdshow affecting all internet browsers - Bkis Security Blog

Although BKIS Security, which discovered the vulnerability, believes that the vulnerability can be exploited by a mere visit to a crafted web site, it only gives a very vague description of the boundary conditions. Windows Media Player can use ffdshow, for example, to show films embedded in web sites directly in the browser, but it only uses ffdshow if it has been manually set to do so. BKIS, however, is assuming that the vulnerability can potentially be exploited via Windows Media Player plug-ins to Firefox, Opera, Chrome, and other browsers.
　　　　　Critical vulnerability in ffdshow audio and video codec - heiseSecurityより引用

　当然ながら，影響を受けるffdshowを使っている場合，どのブラウザであろうと危険に晒されることになる．

As for the seriousness of the vulnerability, it has been patched in the latest version of ffdshow by the developing team of the software. Bkis Internetwork Security Center highly recommends that users should update ffdshow to the latest version here: ffdshow_rev2347_20081123_clsid

At the moment, there are a lot of software packages packing ffdshow that haven’t been updated. On account of this, users should also update the ffdshow latest versions:

  • K-Lite Codec Pack (lastest version).
  • XP Codec Pack (lastest version).
  • Vista Codec Package (lastest version).
  • Codec Pack All in one (lastest version).
  • Storm Codec Pack (lastest version).
  • And many other software Codec packages using ffdshow.

In addition, software producers that make use of ffdshow in their products should also update these products with the latest version of ffdshow.
　　　　　Critical BoF vulnerability found in ffdshow affecting all internet browsers - Bkis Security Blogより引用

　上述した通り，最新版ではこの脆弱性は修正されている．また，大半のコーデックパックにはffdshowがパッケージングされており，それらに関しても，個別にffdshowをアップデートすることが推奨される．