The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Уязвимость в OpenH264, позволяющая выполнить код при декодировании видео

22.02.2025 17:45

В проекте OpenH264, развивающем открытую реализацию видеокодека H.264, выявлена уязвимость (CVE-2025-27091), потенциально способная привести к выполнению кода при декодировании специально оформленного видео. Проблема проявляется в режимах SVC (Scalable Video Coding) и AVC (Advanced Video Coding), и вызвана состоянием гонки, приводящем к записи данных за пределы выделенного буфера. Уязвимость устранена в выпуске OpenH264 2.6.0. Проследить за появлением обновлений в дистрибутивах можно на следующих страницах: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.

Библиотека OpenH264 создана и сопровождается компанией Cisco и примечательная тем, что позволяет использовать технологии сжатия видео H.264 в сторонних продуктах без ограничений и отчислений, так как компания Cisco выступает лицензиатом организации MPEG-LA. Право на использование запатентованных технологий сжатия видео передаётся только для сборок, которые распространяются компанией Cisco, например, загружены с сайта Cisco. Подобная особенность используется в Firefox, openSUSE и Fedora для легального использования кодека H.264 - дистрибутивы поставляют мета-пакет, а Firefox включает плагин, которые содержат код для загрузки готовой сборки OpenH264 с сайта ciscobinary.openh264.org.

  1. Главная ссылка к новости (https://seclists.org/oss-sec/2...)
  2. OpenNews: Включение поддержки OpenH264 в пакете с Firefox для Fedora
  3. OpenNews: В Fedora добавлена встроенная поддержка H.264
  4. OpenNews: В видеокодеке OpenH264 выявлена опасная уязвимость, которая не затронула Firefox
  5. OpenNews: Компания Cisco опубликовала исходные тексты видеокодека OpenH264
  6. OpenNews: Уязвимость в эталонных реализациях кодеков AV1 и VP8/VP9
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/62775-openh264
Ключевые слова: openh264
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (52) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 18:22, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Линк Убунту - то 500, то 404
     
     
  • 2.7, Аноним (7), 18:45, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    ftp://cdimage.ubuntu.com/ в файловом браузере пашет
     
     
  • 3.10, Аноним (10), 18:52, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Ты наверно не знаешь, но файловых браузеров в мире больше одного. Ты про какой?
     
     
  • 4.12, Аноним (7), 18:56, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Про Linux'овый конечно же

    можешь и через MidnightCommander

     
  • 3.19, Аноним (-), 19:29, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > ftp://cdimage.ubuntu.com/ в файловом браузере пашет

    Зашибись, а ключи вы ищите - под фонарем, не потому что потеряли, а потому что там светлее? Это другой хост. И другой сервис. Подумаешь мелочи какие.

     
     
  • 4.26, Аноним (26), 19:52, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Главное не ныть, а искать решение. Пофиг что это другое решение и другой проблемы.
     

  • 1.2, Аноним (2), 18:24, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Не очень понимал, какие у сабжа преимущества перед x264?
     
     
  • 2.3, Аноним (3), 18:32, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Это те самые блобы, насильно пропихнутые всем. Пока местные анонимы стенали по поводу нвидии. Логично, что в них имеются технические отверстия. И если в фф ещё как-то можно отключить наполовину, то у остальных ничего не сделаешь.

    Что до преимуществ, x264 -- кривоватая поделка сомнительного легального статуса, любое развитие которой закончилось лет 2 назад. И сабж вроде как "индустриальный стандарт".

     
     
  • 3.13, Аноним (13), 18:58, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Какое дело на локалхосте до легальности?
     
     
  • 4.15, Аноним (3), 19:05, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Не любят встраивать варез ни в проприетарь, ни в опенсорс. Тут ситуация примерно как с unrar: кому-то будет всё равно, но собрать в продукт нельзя.
     
     
  • 5.27, Аноним (26), 19:52, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Зато в винрар добавили темную тему.
     
  • 3.23, Аноним (-), 19:41, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Какие, нахрен, блобы Вы некомпетентны Эта хреновина с исходниками Но общее ее... большой текст свёрнут, показать
     
     
  • 4.29, Аноним (3), 20:13, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Исходники это замечательно, но твой браузер скачает блобы с сайта циски без твоего ведома.
     
     
  • 5.34, Аноним (34), 21:23, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > Исходники это замечательно, но твой браузер скачает блобы с сайта циски без твоего ведома.

    Уточнение: ваш браузер скачает вам блоб без вашего ведома. А вот у меня в системе программы ведут себя - нормально. И ничего они скачать без спроса ессно не могут, by design.

    Но даже если какая-то лажа и выйдет - контейнер очень помешает левым начинаниям. В нем доступен аж чудный Downloads - и хватит с вас.

    А если контейнер каким-то чудом ухитриться вынести - отлично, но это всего лишь виртуалка. С браузером. И в ней все равно нечего брать кроме Downloads :)

    Зачем кому-то столько е...ся с получением Downloads я не понимаю: все эти файлы были скачаны из интернета и скачать их оттуда - явно проще.

    Мораль сей басни такова: не стоит проецировать ваши проблемы на других.

     
     
  • 6.36, Аноним (36), 22:40, 22/02/2025 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
     
  • 7.37, Аноним (-), 22:43, 22/02/2025 Скрыто ботом-модератором     [к модератору]
  • –1 +/
     
  • 6.49, Аноним (49), 01:52, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    А как контейнеры, по производительности сильно бьют? Реально ли в обычном, повседневном использовании заметить разницу с, нативными программами?
    Неиронично интересуюсь. Наверное на современных слабых интелах(для дешевых ноутов) и с 4гб памяти, совсем не стоит даже пытаться?
     
     
  • 7.54, Аноним (-), 02:42, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Никак не бьют практически Браузер вообще к ФС не особо сильно доступается Ну о... большой текст свёрнут, показать
     
  • 2.4, Plazik (?), 18:32, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    x264 - это кодировщик, в сабж - это декодер.
     
     
  • 3.46, anba (?), 01:26, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Нет, это кодер. Его использует firefox для кодирования в webrtc
     
  • 3.47, anba (?), 01:28, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Нет, это кодер не требующий отчислений в комитет mpeg-la
     
  • 2.45, anba (?), 01:25, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Лицензия. Отсутствие роялти
     

  • 1.6, Аноним (6), 18:41, 22/02/2025 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ]     [к модератору]
  • +/
     

  • 1.8, Аноним (10), 18:49, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +8 +/
    Ой какая чудовищная и совершенно случайная ошибка. Как хорошо что в ней никто не виноват, а код появился из воздуха.
     
     
  • 2.16, Аноним (-), 19:07, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Ой какая чудовищная и совершенно случайная ошибка. Как хорошо что в ней никто не виноват, а код появился из воздуха.

    Не надо наезжать на программиста! Он ниучем не виноват!
    Он хотел как лучше, а получилось как всегда.

    Надо просто писать хорошо и не писать плохо, вот Настоящий СИшник таких ошибок не сделает.


     
     
  • 3.53, Аноним (53), 02:13, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Так правда же, надо писать хорошо. А что бы писать хорошо, нужно либо получить степень по информатике, либо примерно столько же времени все самому изучать.
    Увы, в реальности курсов "си за 24часа" и приеме на работу по квотам и всех подряд, неизбежны такие вот проблемы.
     

  • 1.17, Аноним (17), 19:09, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Они в этом релизе 2.6.0 решили отключить -Werror
    github.com/cisco/openh264/commit/edbef4dfe27b44d4e4f25db0671f1073a680a0be

    Штош...
    Ждем 2.7.0 с еще парой дыреней.

     
     
  • 2.22, Карлос Сношайтилис (ok), 19:34, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Хм. А что такое "unexpected compilers"?
     
  • 2.59, Буратино (?), 06:04, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Лол. Вот же клованы.
    Без -Werror жить на плюсах попросту нельзя.
     

  • 1.20, Аноним (20), 19:32, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Жесть какая, даже  плюсы не спасают код от уязвимостей. В Cisco что, некомпетентные люди работают? Срочно им код надо переписать на Раст! Только Раст спасёт человечество от смешных уязвимостей. УРА!
     
     
  • 2.33, Аноньимъ (ok), 21:12, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    В плюсах UB чуть ли не больше чем в сях.
    При этом сам язык никто на планете не знает.
     
     
  • 3.35, Аноним (35), 22:09, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Плюсы никогда не были про безопасность, они были про фичи.
     
  • 2.42, Аноним (42), 00:39, 23/02/2025 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 2.51, Аноним (49), 01:59, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Компетентные. Достаточно, чтобы прятать свои бекдоры.

    Есть одна история интересная, видел как один ремонтник эпл техники в видео рассказывал, как они умышленно "самоуничтожают" макбуки, от одной нечаяно пролитой чашки кофе.
    Там прикол в том, что линии данных к процу от дисплея и линия питания подстветки проведены впритык к другдружке. Он показывал такую материнку, где от пролитой жидкости выгорел проц. А это минимум проц менять, а максимум всю мать.
    Ни один грамотный инженер так не поступит. Это очевидно умышленное решение.

     
     
  • 3.58, Аноним (58), 05:21, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Что вам макбуки? Не покупайте этот хлам, сказано же.
     

  • 1.25, Аноним (25), 19:50, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Firefox до сих пор его использует?
     
     
  • 2.30, Аноним (30), 20:29, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Яндекс браузер по всей видимости использует. У него в списке используемых библиотек данная библиотека имеется.
    Может и хромиум тоже?
     
     
  • 3.50, Аноним (50), 01:53, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Скорее всего, да, ибо в обычном Хроме на chrome://credits/ указана эта OpenH264, а Хромиум это тот же Хром, но без сервисов Гугла
     

  • 1.31, Аноним (31), 20:30, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >C++ 59.9%
    >Assembly 19.7%
    >C 16.1%

    а где раст?

     
     
  • 2.38, Аноним (38), 23:00, 22/02/2025 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 2.40, нах. (?), 23:39, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Пишутъ! Уже CoC.md и readme закомитили!

     
     
  • 3.52, Аноним (49), 02:02, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Сколько уже про этот сос слышу, но до сих пор не понял что это. Кому не сложно, объясните мне плиз, что это. В гугле не оч понятно.
     
     
  • 4.57, Аноним (50), 03:38, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Code of Conduct
     

  • 1.32, Аноним (35), 20:49, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Я так понимаю, опенсорсная и защищённая альтернатива незамедлительно появилась?
     
  • 1.39, Аноним (39), 23:21, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    а че для dshow такой декодер не сделают?
     
     
  • 2.41, 12yoexpert (ok), 23:54, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –2 +/
    потому что не бывает никакого dshow
     
     
  • 3.44, Аноним (42), 00:45, 23/02/2025 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
  • 2.43, Аноним (42), 00:43, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Потому что через это видео уже лет 10 не катают? Ещё в 7ке это был дичайщий костыль для эстетов "подрихтовать под себя", сейчас только в кlite остался и то для веса.
     

  • 1.48, мяв (?), 01:31, 23/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    что в очередной раз доказывает нужность MACов "в каждом доме".
     
     
  • 2.55, Аноним (55), 03:14, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    чем доказывает? почему в очередной раз? где ты видела дома у обычных россиян?
     

  • 1.56, Аноним (56), 03:25, 23/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    так а чё .265, не прижился что-ли?
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2025 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру