The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Уязвимости в GStreamer, приводящие к выполнению кода при обработке файлов SRT и PGS

08.07.2023 22:32

В мультимедийном фреймворке GStreamer выявлены две уязвимости, которые могут привести к выполнению кода при обработке специально оформленных файлов в форматах SRT (CVE-2023-37329) и PGS (CVE-2023-37328) в приложениях, использующих GStreamer. Уязвимости вызваны переполнениями буфера в коде разбора и декодирования субтитров из файлов в форматах SRT и PGS. Переполнения возникают из-за отсутствия должной проверки размера присутствующих в файлах полей, перед копированием их содержимого в выделенный буфер. Уязвимости устранены в выпуске 1.22.4 наборов gst-plugins-good, gst-plugins-bad и gst-plugins-base.

  1. Главная ссылка к новости (https://www.zerodayinitiative....)
  2. OpenNews: Доступен мультимедийный фреймворк GStreamer 1.22.0
  3. OpenNews: В GStreamer реализована возможность поставки плагинов, написанных на Rust
  4. OpenNews: Уязвимости в VLC и GStreamer, способные привести к выполнению кода при обработке контента
  5. OpenNews: Уязвимости в MySQL, Ghostscript и GStreamer
  6. OpenNews: Уязвимости в Tomcat, Apache, wxWidgets, GStreamer, ImageMagick и Linux ядре
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/59410-gstreamer
Ключевые слова: gstreamer
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (30) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 23:16, 08/07/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    C++lassic
     
  • 1.2, дАнон (?), 23:19, 08/07/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Раст не нужон. Но и проверки нам не нужны.
     
     
  • 2.3, Анонимусы (?), 23:55, 08/07/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Так возьми и перепиши, предложи свой вариант написанный на расте сообществу
     
  • 2.11, YetAnotherOnanym (ok), 10:22, 09/07/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Ничто не нужно. Оммммммм...
     
     
  • 3.21, Unnamed Player (?), 14:06, 09/07/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Надо OOM-киллер нормально настраивать тогда.
     

  • 1.4, Аноним (4), 00:19, 09/07/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    0.10 была самая норм версия, с тех пор я не видел, чтобы оно корректно работало где-нибудь -- каждый раз какая-нибудь лажа с чем-нибудь. FFmpeg конечно не лучше, но он хотя бы работает.
     
  • 1.6, Аноним (6), 02:13, 09/07/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    парсеры надо из спецификаций генерировать, а не вручную писать.
     
     
  • 2.23, Аноним (23), 15:40, 09/07/2023 [^] [^^] [^^^] [ответить]  
  • +2 +/
    осталось генерировать генератор и генератор генераторов, а не вручную писать
     
     
  • 3.34, пох. (?), 15:51, 11/07/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Так уже - chatgpt, не, не слышал? Прада генерит он только крутой бред, но для многих применений - сойдет.

    Код им сгенереный тоже пока обычно даже не компилируется, но на code review его уже тоже вполне можно выпускать, 3/4 дела уже в шляпе!

     

  • 1.7, Аноним (7), 02:59, 09/07/2023 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ]     [к модератору]
  • +2 +/
     

  • 1.8, Kuromi (ok), 05:39, 09/07/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    "Уязвимости вызваны переполнениями буфера в коде разбора и декодирования субтитров из файлов в форматах SRT и PGS."

    А вот это уже реальный фейл, ибо означенные файлы - текстовые. Одно дело кропотливо сооружать вредоносные mp4, а другое дело - сделать вредоносные сабы и залить их в анимешный репак на торренты. Если еще и реальное применение уязвимости найдут...

     
     
  • 2.9, пох. (?), 09:30, 09/07/2023 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > А вот это уже реальный фейл, ибо означенные файлы - текстовые.

    то что там исполняется при подходящем сочетании звезд - ни разу не текст.

    > Одно дело кропотливо сооружать вредоносные mp4

    Дело-то то же самое - добавить в поток (а то и вовсе в упаковоку) кусочек чего-то лишнего и залить на твой любимый анимешный сайт с понями и лолями. Но разбираться в парсере видеопотоков сложно, долго, скучно - проще посмотреть на парсер текста.

    > Если еще и реальное применение уязвимости найдут...

    к счастью, т-рылая мразила давно уже перешла на ffmpeg, а ради полутора пользователей линуксных дрисктопов с гомощелью никто в здравом уме напрягаться не станет.

    Других пользователей у этого недоразумения нет.

     
     
  • 3.12, ТутВамНеТам (?), 10:25, 09/07/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Других пользователей у этого недоразумения нет.

    Лоз, ты забыл про андроид.

     
     
  • 4.20, пох. (?), 13:55, 09/07/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    ты думаешь там правда в комплекте эти...  gst-plugins-bad   gst-plugins-complete-trash и сколько там их еще?


     
  • 3.28, Kuromi (ok), 05:34, 10/07/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Вот самое смешное, что одной из названных причин первоначального нежелания поддерживать Gstreamer (а потом и отказа от него) были ка краз вот такие гипотетические узвимости.
    Многие тогда конечно шикали, но вот...дожили. Впрочем по опыту цифровые флибустьеры как правило на своих кинотеатриках сабами не заморачиваются вообще, а легальные киношки сабы рисуют в основном жабаскриптом, без штук вроде VTT и файлов с сабами.
     
     
  • 4.29, Sw00p aka Jerom (?), 06:28, 10/07/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Распарсить текст епта, в универах этому уже не учат? Юзайте написанный дедами парсеры :)
     
  • 2.10, FF (?), 10:10, 09/07/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >> залить их в анимешный репак

    Тогда это не баг, это фича

     
  • 2.26, Аноним (26), 00:03, 10/07/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Я, конечно, не в курсе всех деталей уязвимостей, но скажу так - сейчас чтобы нормально разбирать юникод, надо пару лет наглотаться пыли и откровенной грязи - такое барахло прилетело за последние 10 лет в стандарт, что не в сказке сказать, ни пером описать.
    А потом ещё нормально выбрать символ и отрисовать его - мой пламенный привет лигатурам, встроенным в шрифты и прочим модификаторам цвета кожи эмодзи. Там поле непаханное кривой реализации и вытекающих из неё багов, менее научных, вроде отпечатков по работе плашки памяти, но куда гораздо приближенных к реальности в плане эксплуатации.
     
     
  • 3.27, пох. (?), 02:17, 10/07/2023 [^] [^^] [^^^] [ответить]  
  • +/
    дружище, займись продажей пиццы, это у тебя точно получится лучше чем программирование.

    Тебе НЕ НАДО "нормально разбирать юникод" - никто даже и не заметит что ты выбрал неверный глиф для неведомого символа алфавита майа (все пустые квадратики совершенно одинаковы).

    Тебе всего лишь надо не выполнить при этом текстовую строку как код. И если ты не понимаешь как это гарантировать - лучше продавай пиццу.

    P.S. я совершенно уверен что проблема не в юникоде, и они там использовали лефтп/////libicu как все.


     
     
  • 4.31, Аноним (26), 19:55, 10/07/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >дружище, займись продажей пиццы, это у тебя точно получится лучше чем программирование

    Хорошо, но только в компании с этими чудиками и тобой, у которого ВАААБЩЕ нет никаких проблем.
    А кто те другие чудики? Авторы libass, vobsub - рендеров субтитров, у которых регулярно были обосрамсы по безопасности (ну ладно, сделаем поправку на то, что рисовали сложней вещи, типа ass)
    Авторы freetype, у которого регулярно были обосрамсы на несовсем корректных шрифтах)
    Прогеры яблофонов (и не только), у которых тело вешалось он лютой нашлепки кодов модификаторов в приложении обмена сообщениями.
    Хотя, казалось бы, по-поховски должны были от рисовать пустой прямоугольник и всё.

     
     
  • 5.32, пох. (?), 22:04, 10/07/2023 [^] [^^] [^^^] [ответить]  
  • +/
    >>дружище, займись продажей пиццы, это у тебя точно получится лучше чем программирование
    > А кто те другие чудики? Авторы libass, vobsub - рендеров субтитров, у

    то есть в твоей головушке рендер и "разбор юникода" из твоего предыдущего опуса - одно и то же? Ну ок, предложение о продаже пиццы снимается. Тебя там обсчитают так что ты вместо пиццы себя в ан@льное рабство продашь, с такими интеллектуальными способностями.

    Твоя судьба видимо таки да, программировай. Там интеллект не нужен, его заменит chatgpt.

     
     
  • 6.33, Аноним (26), 22:24, 10/07/2023 [^] [^^] [^^^] [ответить]  
  • +/
    >нормально разбирать юникод,
    >А потом ещё нормально выбрать символ *и* отрисовать

    Понятно, сгорел. А мог бы читать внимательней чужие сообщения.

     

  • 1.16, Анонин (?), 11:46, 09/07/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    О нет, сишники опять не смогли посчитать размер буфера!
    Никогда такого не было и вот опять!
     
     
  • 2.17, Аноним (17), 12:01, 09/07/2023 [^] [^^] [^^^] [ответить]  
  • +3 +/
    О нет, опять язычёк ничего не смог написать!
    Никогда такого не было и вот опять!
     
     
  • 3.30, User (??), 08:58, 10/07/2023 [^] [^^] [^^^] [ответить]  
  • +/
    >О нет, опять язычёк ничего не смог написать!

    Никогда такого не было и вот опять!
    О, нет! Опеннетчик снова не смог в суффиксы имен существительных!
    Никогда такого не было и вот опять!
    Но в rust он конечно сможет - это же ДРУГОЕ.

     

  • 1.18, Аноним (17), 12:05, 09/07/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Напомню что этот тот самый GStreamer который ввёл поддержку плагинов на расте https://www.opennet.dev/opennews/art.shtml?num=57799 Итог прошел уже почти год никаких плагинов на расте так никто и не написал. Ор выше гор.
     
     
  • 2.19, Ефрщ (?), 12:27, 09/07/2023 [^] [^^] [^^^] [ответить]  
  • –2 +/
    https://gitlab.freedesktop.org/gstreamer/gst-plugins-rs/-/tree/main/video/gtk4
     
  • 2.22, Аноним (22), 15:33, 09/07/2023 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Наверное потому, что сишников море, а растовиков пока еще кот наплакал? А среди тех немногих всем пофиг на гстример, кроме того гика, что поддержку раста добавил? Да, наверное "он должен был всё переписать!". Ну, у вас, у сишников, растаманы почему-то "должны всё переписать", чтобы вам что-то доказать.
     
     
  • 3.25, Аноним (25), 21:41, 09/07/2023 [^] [^^] [^^^] [ответить]  
  • +3 +/
    нет... это потому, то растоманы кроме пиара ничем не отметились... ну еще фф испортили... да...
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру