Compartir a través de

Aviso de investigación de vulnerabilidades de Microsoft MSVR11-012

Vulnerabilidad en FFmpeg podría permitir la ejecución remota de código

Publicado: 18 de octubre de 2011

Versión: 1.0

Información general

Resumen ejecutivo

Microsoft proporciona una notificación de la detección y corrección de una vulnerabilidad que afecta a FFmpeg versión 0.8.0 y versiones anteriores. Microsoft detectó y reveló la vulnerabilidad bajo la divulgación coordinada de vulnerabilidades al proveedor afectado, FFmpeg. FFmpeg ha corregido la vulnerabilidad en su software.

Existe una vulnerabilidad en la forma en que FFmpeg controla los paquetes ASF, lo que provoca un desbordamiento entero que permite la ejecución remota de código. Un atacante que aprovechara correctamente esta vulnerabilidad podría obtener los mismos derechos de usuario que el usuario que inició sesión. Si un usuario ha iniciado sesión con derechos de usuario administrativos, un atacante que aprovechara correctamente esta vulnerabilidad podría tomar el control completo de un sistema afectado. El atacante, a continuación, podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas con derechos de usuario completos.

Microsoft Vulnerability Research notificó este problema y se coordina con FFmpeg para garantizar la corrección de este problema. A la vulnerabilidad se le ha asignado la entrada CVE-2011-4031, en la lista Vulnerabilidades y exposiciones comunes. Para obtener más información, incluida la información sobre las actualizaciones de FFmpeg, consulte la página de descarga de FFmpeg.

Factores de mitigación

  • La vulnerabilidad no se puede aprovechar automáticamente a través de correo electrónico. Para que un ataque se realice correctamente, un usuario debe abrir un archivo adjunto que se envíe en un mensaje de correo electrónico.
  • En un escenario de ataque basado en web, un atacante podría hospedar un sitio web que contiene un archivo especialmente diseñado que se usa para aprovechar esta vulnerabilidad. Además, los sitios web en peligro y los sitios web que aceptan o hospedan contenido o anuncios proporcionados por el usuario podrían contener contenido especialmente diseñado que podría aprovechar esta vulnerabilidad. Sin embargo, en todos los casos, un atacante no tendría forma de forzar a los usuarios a visitar estos sitios web. En su lugar, un atacante tendría que convencer a los usuarios de visitar el sitio web, normalmente obteniendo que hagan clic en un vínculo en un mensaje de correo electrónico o un mensaje de Instant Messenger que lleve a los usuarios al sitio web del atacante y, a continuación, convencerlos para abrir el archivo especialmente diseñado.
  • Un atacante que aprovechara correctamente esta vulnerabilidad podría obtener los mismos derechos de usuario que el usuario que inició sesión. Los usuarios con cuentas configuradas para tener menos derechos de usuario en el sistema podrían tener un impacto menor que los usuarios que operan con derechos de usuario administrativos.

Detalles de asesoramiento

Propósito y recomendación

Propósito del aviso: para notificar a los usuarios una vulnerabilidad y su corrección.

Estado de aviso: aviso publicado.

Recomendación: revise la sección Acciones sugeridas y configure según corresponda.

Referencias a problemas

Para obtener más información sobre este problema, consulte las referencias siguientes:

Referencia Identificación
Vulnerabilidades y exposiciones comunes CVE-2011-4031

Software afectado y no afectado

Este aviso describe el siguiente software:

Software afectado
FFmpeg 0.8.0
Software no afectado
FFmpeg 0.8.3

Preguntas más frecuentes

¿Cuál es el ámbito de este aviso?
Este aviso forma parte de una versión coordinada con los proveedores afectados para informar a los clientes de un problema de seguridad que pueda afectar a sus sistemas.

¿Se trata de una vulnerabilidad de seguridad que requiere que Microsoft emita una actualización de seguridad?
No. Esta vulnerabilidad se ha corregido a través de una actualización de los proveedores de terceros afectados. La actualización corrige el software que aparece en la tabla Software afectado.

¿Cuál es el ámbito de la vulnerabilidad?
Se trata de una vulnerabilidad de ejecución remota de código. Un atacante que aprovechara correctamente esta vulnerabilidad podría obtener los mismos derechos de usuario que el usuario que inició sesión. Los usuarios con cuentas configuradas para tener menos derechos de usuario en el sistema podrían tener un impacto menor que los usuarios que operan con derechos de usuario administrativos.

¿Qué causa la vulnerabilidad?
La vulnerabilidad existe en la forma en que FFmpeg controla paquetes ASF especialmente diseñados.

¿Qué podría hacer un atacante para usar esta vulnerabilidad?
Un atacante que aprovechara correctamente esta vulnerabilidad podría obtener los mismos derechos de usuario que un usuario que ha iniciado sesión. Si el usuario ha iniciado sesión con derechos de usuario administrativos, un atacante que aprovechara correctamente esta vulnerabilidad podría tomar el control completo de un sistema afectado. El atacante, a continuación, podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas con derechos de usuario completos.

¿Cómo podría un atacante aprovechar la vulnerabilidad?
Un atacante podría aprovechar esta vulnerabilidad al engañar a un usuario para abrir un archivo especialmente diseñado con una versión afectada de FFmpeg. Normalmente, estos archivos especialmente diseñados se entregan a través de técnicas de ingeniería social en correo electrónico, mensajería instantánea o a través de vínculos de descarga en sitios web. Esta vulnerabilidad no se puede aprovechar sin interacción del usuario.

Acciones sugeridas

Descargue y use FFmpeg versión 0.8.5 desde FFmpeg.

Otra información

Agradecimientos

Microsoft agradece lo siguiente:

Declinación de responsabilidades

La información proporcionada en este aviso se proporciona "tal cual" sin garantía de ningún tipo. Microsoft renuncia a todas las garantías, ya sea expresas o implícitas, incluidas las garantías de comerciabilidad y idoneidad para un propósito determinado. En ningún caso, Microsoft Corporation o sus proveedores serán responsables de cualquier daño, incluyendo daños directos, indirectos, incidentales, consecuentes, pérdida de beneficios empresariales o daños especiales, incluso si Microsoft Corporation o sus proveedores han sido informados de la posibilidad de tales daños. Algunos estados no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, por lo que es posible que no se aplique la limitación anterior.

Revisiones

  • V1.0 (18 de octubre de 2011): Aviso publicado.

Compilado en 2014-04-18T13:49:36Z-07:00