Adrian Junge

O decodificador Go2Meeting contém um problema onde uma variável não inicializada é utilizada, permitindo que atacantes vazem memória da pilha através de índices de paleta fora de intervalo. Ao criar um fluxo G2M3/G2M4 com uma paleta Kempf curta, a função `kempf restore buf()` pode copiar bytes não inicializados da pilha, incluindo ponteiros ou guardas de pilha, para a saída decodificada.

O decodificador PCX contém um problema de uso de recurso não inicializado. Um invasor pode criar uma imagem PCX com dados RLE (Run-Length Encoding, uma forma de compressão de dados sem perdas) que termina prematuramente. Isso faz com que a função `pcx decode frame()` copie conteúdos de buffer `av malloc()` não inicializados para pixels decodificados visíveis, resultando em um vazamento de memória heap.

Um problema de uso de recurso não inicializado existe na função `sunrast decode frame()`. Isso ocorre ao decodificar imagens Sun Raster paletizadas de 1 bit e 4 bits truncadas, resultando em vazamentos de memória heap. Um invasor pode fornecer um arquivo Sun Raster truncado especialmente criado para que um bitmap temporário não limpo seja expandido em pixels PAL8, expondo conteúdos obsoletos do heap, como palavras do alocador, na saída decodificada.

O decodificador CDXL contém um problema onde variáveis não inicializadas levam ao vazamento de memória da pilha para pixels decodificados através de entradas de paleta HAM não preenchidas. Um invasor remoto pode usar um arquivo CDXL do tipo-0 especialmente criado para acionar esse comportamento por meio das funções `cdxl decode ham8()` ou `cdxl decode ham6()`, resultando na exposição de bytes da pilha e fragmentos de ponteiros na saída BGR24.

O decodificador Huffyuv contém um problema de uso de recurso não inicializado. Um invasor pode vazar memória do heap para pixels decodificados usando bitstreams packed-BGR curtos. Ao criar um vídeo Huffyuv BGR24/BGRA onde os dados de entropia terminam prematuramente, a função `decode slice()` adiciona bytes `s->temp[0]` não inicializados aos quadros de saída, expondo o conteúdo do heap.

Uma gravação de heap fora dos limites existe no decodificador nativo GoPro CineForm HD (CFHD). Um invasor remoto pode corromper a memória do heap ao fornecer um arquivo AVI especialmente criado durante a sondagem do fluxo. O problema ocorre porque a função `cfhd decode()` não impõe o invariante de largura de saída lógica não-Bayer no caminho de reconstrução do tipo de transformação 2. Isso leva a função `horiz filter clip()` a gravar linhas de amostra de 16 bits superdimensionadas além do buffer de quadro de saída alocado, o que pode permitir a execução de código arbitrário ao sobrescrever um ponteiro de callback de limpeza ativo.

Um estouro de inteiro assinado existe no analisador de legendas DVB em `libavcodec/dvbsub parser.c`. Um invasor pode desencadear um estouro de buffer de heap ao fornecer um arquivo WTV especialmente criado. Isso ocorre quando uma expressão de guarda de verificação de limites envolve para `INT MIN`, ignorando a comparação `PARSE BUF SIZE`. Consequentemente, a função `memcpy()` é chamada com dados controlados pelo invasor, resultando em uma gravação de heap fora dos limites, o que pode levar à corrupção de memória ou execução de código arbitrário.

O decodificador RSCC nativo em `libavcodec/rscc.c` contém um problema de leitura de memória heap não inicializada. Um invasor pode expor conteúdos da memória heap fornecendo um arquivo de vídeo especialmente criado contendo um tile comprimido que descompacta menos bytes do que a geometria do tile declarada exige. Isso ocorre quando a função `rscc decode frame()` chama `av image copy plane()` sem validar a contagem de bytes descompactados em relação às dimensões do tile. Consequentemente, o sufixo não gravado do buffer intermediário persistente `ctx->inflated buf` é copiado para o quadro decodificado, o que pode expor dados de alocações de heap anteriores ou quadros decodificados anteriormente em serviços de decodificação persistentes.

Existe uma leitura de memória heap não inicializada no decodificador nativo Screenpresso (`libavcodec/screenpresso.c`). Um invasor pode recuperar conteúdos sensíveis de memória, como endereços de espaço do usuário de serviços de decodificação persistentes, ao fornecer um pacote SPV1 manipulado contendo um fluxo zlib válido que descompacta menos bytes do que o necessário para o quadro completo. Isso ocorre porque a função `screenpresso decode frame()` não valida a contagem de bytes produzidos antes de chamar `av image copy plane()` para copiar as dimensões do quadro do buffer `ctx->inflated buf`, resultando na cópia de memória heap não gravada de alocações ou quadros anteriores para a saída decodificada.

Uma divulgação de memória heap não inicializada existe no decodificador TIFF nativo em libavcodec/tiff.c. Um invasor pode explorar isso fornecendo um arquivo TIFF manipulado contendo uma faixa compactada via Deflate que produz menos bytes do que o declarado. A função `tiff unpack zlib()` aloca um buffer de heap para a faixa declarada completa, mas usa `memcpy()` para copiar todas as linhas declaradas, independentemente dos bytes reais descompactados pelo zlib. Esse processo incorpora bytes não gravados contendo dados obsoletos de alocações de heap anteriores na saída da imagem decodificada, o que pode expor informações sensíveis em serviços persistentes.

Existe uma gravação fora dos limites do heap nos codificadores nativos PNG e APNG. Um invasor remoto pode corromper a memória do heap fornecendo uma imagem PNG manipulada contendo um chunk eXIf malicioso. Ao criar um chunk eXIf onde múltiplas entradas IFD (Image File Directory) referenciam a mesma carga de valor grande, a serialização canônica expande a saída além da alocação estimada pela função `add exif profile size()`. Isso faz com que a função `png write chunk()` grave dados além do limite do buffer, resultando em corrupção determinística do heap, travamentos do processo e, potencialmente, execução de código arbitrário.

Existe uma gravação fora dos limites do heap (heap out-of-bounds write) no filtro `vf hqdn3d`. Isso ocorre quando a reinicialização do filtergraph é desativada usando a opção `-reinit filter 0`. Um invasor pode fornecer um vídeo manipulado onde a resolução do quadro aumenta entre os quadros. Nesse cenário, a função `config input()` aloca buffers de histórico de linha por plano subdimensionados com base na largura inicial do quadro, e quadros subsequentes maiores fazem com que a função `denoise spatial()` escreva além do limite alocado, resultando em corrupção de memória heap.

Um problema de gravação fora dos limites (out-of-bounds write) existe no filtro de vídeo `vf floodfill`. Isso ocorre quando um fluxo de vídeo de tamanho dinâmico é fornecido enquanto a reinicialização do filtergraph está desativada via `-reinit filter 0`. A função `config input()` aloca a pilha de travessia de pontos com base nas dimensões do quadro inicial; se um quadro subsequente maior for processado, a função `filter frame()` realiza pushes de vizinhos de preenchimento (flood-fill) além do limite de alocação original. Isso resulta em corrupção de heap, o que pode causar a falha do processo ou potencialmente permitir a execução de código arbitrário, dependendo do layout do heap e do endurecimento (hardening) do processo.

Uma gravação fora dos limites existe no filtro de vídeo `vf swaprect`. Isso ocorre quando a função `filter frame()` reutiliza um buffer de linha temporário dimensionado para o passo de pixel de byte único do plano 0 em todos os planos. Ao processar um quadro de vídeo NV12 manipulado com dimensões de largura ímpares, como um quadro 17x16, um memcpy de 18 bytes é realizado em uma alocação de heap de 17 bytes para o plano de croma intercalado. Isso leva à corrupção do heap, o que pode causar a falha do processo ou potencialmente permitir a execução de código arbitrário.

Um problema de gravação fora dos limites ocorre ao processar um arquivo ffconcat manipulado usando a flag `-safe 0`. A função `demux audio()` no demuxer TY decrementa o tamanho do pacote sem realizar a verificação de limites. Isso resulta em um valor de tamanho negativo sendo passado para a função `memcpy()` dentro de `shorten decode frame()`. A conversão subsequente para `size t` faz com que o valor envolva para próximo de `SIZE MAX`, levando a leituras além da alocação de origem e gravações muito além do buffer de bitstream do decodificador Shorten, o que causa a corrupção do heap.

Um problema de gravação fora dos limites (out-of-bounds write) existe no decodificador de vídeo TDSC. Um invasor remoto pode causar a corrupção da heap ao fornecer um arquivo AVI especialmente manipulado que altera as dimensões dos quadros entre os quadros TDSF. A função `tdsc parse tdsf()` não remove a referência do quadro de referência atual antes de chamar `av frame get buffer()`. Isso leva as funções `tdsc blit()` e `tdsc yuv2rgb()` a gravar dados de pixels controlados pelo invasor além dos limites do buffer do quadro de referência subdimensionado, o que pode resultar no travamento do processo ou na potencial execução de código arbitrário.

O decodificador de áudio MACE6 contém um estouro de inteiro assinado que permite a corrupção de memória heap por meio de um arquivo CAF manipulado. Ao fornecer valores excessivos para `bytes per packet` e `frames per packet` no chunk desc, um invasor pode disparar um estouro de inteiro na função `mace decode frame()` durante o cálculo da contagem de amostras de saída. Isso resulta em uma alocação de buffer subdimensionada e uma gravação fora dos limites do heap, o que poderia permitir a execução de código arbitrário.

O demuxer IAMF contém um problema que permite que um invasor não autenticado cause a alocação de múltiplos gigabytes de memória usando um pequeno arquivo de entrada de 17 bytes. Isso ocorre porque a função `mix presentation obu()` em libavformat/iamf parse.c chama `av calloc()` usando um campo `count label` manipulado antes de validar os dados OBU (OpenGL Binary Object) disponíveis. Isso leva a uma amplificação de alocação de aproximadamente 126 milhões de bytes por byte de entrada, o que pode esgotar a memória do processo ou acionar um OOM-kill (Out-Of-Memory killer, um processo do kernel que encerra processos para liberar memória) durante a sondagem do formato.

Um problema de divulgação de informações existe no decodificador de vídeo LCL/ZLIB. Um invasor pode expor memória heap não inicializada ao fornecer um fluxo zlib válido que infla para menos bytes do que o tamanho de quadro esperado. A função `zlib decomp()` em `lcldec.c` trata a descompressão curta como não fatal e prossegue para o caminho de conversão RGB24. Esse processo copia um quadro completo de linhas do buffer de alocação com base nas dimensões originais do quadro, resultando na cópia de conteúdos de heap não inicializados, como bytes de alocador derivados de ponteiros, para a saída AVFrame. Isso pode potencialmente anular a Randomização do Layout do Espaço de Endereçamento (ASLR), uma técnica de segurança que organiza aleatoriamente as posições do espaço de endereçamento de áreas de dados importantes de um processo para evitar a exploração.

Uma gravação fora dos limites do heap (heap out-of-bounds write) existe no filtro `vf quirc`. Um invasor pode corromper a memória do heap fornecendo um arquivo de legenda PGS/SUP manipulado com dimensões de quadro incompatíveis, especificamente onde a segunda apresentação possui dimensões maiores que a primeira. Isso faz com que a função `av image copy plane()` copie dados que excedem o tamanho da alocação inicial para um buffer de imagem em escala de cinza do libquirc subdimensionado, resultando no travamento do processo e potencial execução de código arbitrário.