セキュリティ

SECURITY

公開：2024-12-22

【CVE-2024-47545】GStreamerがFOURCC_strfパース時の整数アンダーフロー脆弱性を修正、バージョン1.24.10で対応完了

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• GStreamerにFOURCC_strfパース時の整数アンダーフローを発見
• qtdemux_parse_trak関数で緊急度の高い脆弱性が判明
• GStreamer 1.24.10でこの脆弱性に対する修正を実施

GStreamerのOOB-read脆弱性【CVE-2024-47545】

GStreamerは2024年12月11日、メディアハンドリングコンポーネントのグラフ構築ライブラリであるGStreamerにおいて、FOURCC_strfパース時の整数アンダーフローによるOOB-read脆弱性を確認したことを発表した。qtdemux.c内のqtdemux_parse_trak関数において、size -= 40の減算処理時に40未満の値が入力された場合に整数アンダーフローが発生する可能性があることが判明している。^[1]

この脆弱性は【CVE-2024-47545】として識別されており、CWEによる脆弱性タイプはInteger Underflow（CWE-191）に分類されている。CVSSによるスコアは6.9（MEDIUM）と評価されており、攻撃元区分はローカルであるが、攻撃条件の複雑さは低いとされている。

GStreamerはすでにバージョン1.24.10でこの脆弱性に対する修正を実施している。影響を受けるバージョンは1.24.10未満のすべてのバージョンとなっており、ユーザーには最新バージョンへのアップデートが推奨されている。なお、この脆弱性の詳細な技術情報はGitHubセキュリティラボのアドバイザリーページで公開されている。

GStreamerの脆弱性情報まとめ

整数アンダーフローについて

整数アンダーフローとは、コンピュータプログラムにおいて数値計算の結果が許容される最小値を下回った際に発生する現象のことを指す。主な特徴として以下のような点が挙げられる。

• 変数の最小値を下回る演算で発生
• メモリの不正アクセスやバッファオーバーフローの原因に
• セキュリティ上の重大な脆弱性につながる可能性

GStreamerの事例では、qtdemux_parse_trak関数内のsize変数から40を減算する処理において、size変数が40未満の場合に整数アンダーフローが発生し、その結果としてgst_buffer_fillの呼び出し時に大きなtocopysizeが指定されることでOOB-readが引き起こされる可能性がある。このような整数アンダーフローは、メモリ破壊やシステムクラッシュなどの深刻な問題を引き起こす可能性があるため、適切な入力値の検証が重要となる。

GStreamerの脆弱性対応に関する考察

GStreamerの開発チームが迅速に脆弱性を特定し修正版をリリースしたことは、セキュリティ管理の観点から評価できる。特にCVSSスコアが示すように攻撃条件の複雑さが低い脆弱性であることを考慮すると、早期発見と対応は被害の拡大を防ぐ上で重要な意味を持っている。しかしながら、整数アンダーフローのような基本的な脆弱性が発見されたことは、コードレビューやセキュリティテストの強化が必要であることを示唆している。

今後はGStreamerの開発プロセスにおいて、特に数値処理に関する入力値の検証をより厳密に行う必要があるだろう。また、セキュリティスキャンツールの導入やコードレビューのプロセス改善など、開発段階での脆弱性の早期発見に向けた取り組みも重要となる。静的解析ツールの活用や、セキュリティテストの自動化なども検討に値する施策となるはずだ。

さらに、オープンソースプロジェクトとしてのGStreamerにとって、コミュニティとの連携強化も重要な課題となる。脆弱性情報の透明な公開と共有、パッチの迅速な適用体制の整備など、セキュリティインシデントへの対応力を高めることが求められている。今回の事例を教訓として、より強固なセキュリティ体制の構築が期待される。

参考サイト

1. ^ CVE. 「CVE-2024-47545 | CVE」. https://www.cve.org/CVERecord?id=CVE-2024-47545, (参照 24-12-22).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧