遠端 Debian 11 主機上安裝的多個套件受到 dla-4440 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4440-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2026 年 1 月 16 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：ffmpeg 版本：7:4.3.9-0+deb11u2 CVE ID：CVE-2023-6603 CVE-2024-36615 CVE-2025-1594 CVE-2025-7700 CVE-2025-9951 CVE-2025-10256 CVE-2025-63757 Debian 錯誤：

    在 FFmpeg 多媒體架構中發現數個弱點，如果處理格式錯誤的檔案/串流，會導致拒絕服務或可能執行任意程式碼。

    CVE-2023-6603

        在 FFmpeg 的 HLS 播放清單剖析中發現一個缺陷。此弱點允許透過在初始化期間觸發 NULL 指標解除參照的惡意特製 HLS 播放清單，造成拒絕服務。

    CVE-2024-36615

        FFmpeg n7.0 在 VP9 解碼器中有一個爭用情形弱點。如果匯出視訊編碼參數，這可能會導致資料爭用，因為在輸出執行緒中讀取輔助資料時，輔助資料會附加在解碼器執行緒中。

    CVE-2025-1594

        在 FFmpeg 7.1 版及更早版本中發現一個歸類爲「嚴重」的弱點。這會影響 AAC Encoder 元件中 libavcodec/aacenc_tns.c 檔案的 ff_aac_search_for_tns 函式。攻擊者可利用此弱點造成堆疊型緩衝區溢位。攻擊者可從遠端發動攻擊。攻擊程式已向公眾披露且可能會遭到利用。

    CVE-2025-7700

        在 FFmpegs ALS 音訊解碼器中發現一個缺陷，其未正確檢查記憶體配置是否失敗。這可導致應用程式在處理某些格式錯誤的音訊檔案時損毀。雖然不會導致資料遭竊或系統控制，但可用於中斷服務並造成拒絕服務。

    CVE-2025-9951

        jpeg2000dec FFmpeg 中存在一個堆積緩衝區溢位寫入問題，其允許攻擊者可能取得遠端程式碼執行權限，或透過 JPEG2000 的通道定義 cdef atom 造成拒絕服務。

    CVE-2025-10256

        FFmpegs Firequalizer 篩選器 (libavfilter/af_firequalizer.c) 中存在一個 NULL 指標解除參照弱點，這是因為遺漏檢查 config_input() 函式中 av_malloc_array() 的傳回值所導致。攻擊者可惡意利用此弱點，誘騙受害者在已啟用 Firequalizer 篩選器的情況下處理特製的媒體檔案，造成應用程式解除參照 NULL 指標及損毀，進而導致拒絕服務。

    CVE-2025-63757

        FFmpeg 8.0 版 libswscale/output.c 的 yuv2ya16_X_c_template 函式中存在整數溢位弱點。

    針對 Debian 11 Bullseye，這些問題已在 7:4.3.9-0+deb11u2 版本中修正。

    建議您升級 ffmpeg 套件。

    如需有關 ffmpeg 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/ffmpeg

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4440：ffmpeg - 安全性更新

high Nessus Plugin ID 291274

版本 1.3