21-Byte Datei stürzt FFmpeg ab: Division durch null im VPK-Demuxer entdeckt
We found a division by zero bug in FFmpeg with a vibecoded fuzzer
Ein vibecodierter Fuzzer hat eine Division-durch-null-Schwachstelle im VPK-Demuxer von FFmpeg gefunden. Eine manipulierte 21-Byte-Datei setzt die Kanäle auf null, was in `vpk_read_packet` zu einem SIGFPE-Absturz führt. Jede Anwendung, die FFmpeg zum Öffnen von VPK-Dateien nutzt, ist betroffen. Ein einfacher Check kann den Fehler beheben.
Eine manipulierte 21-Byte-Datei stürzt jede FFmpeg-basierte Anwendung ab, die eine bösartige VPK-Datei öffnet.
- aeyes
Ein Patch dafür wurde im April eingereicht: https://lists.ffmpeg.org/archives/list/[email protected]...
Edit: Und es gab bereits 2024 eine Diskussion darüber.
- dabinat
Es ist interessant, wie KI sowohl die Qualität von Software erhöhen als auch senken kann. Es ist sehr einfach, einen KI-Agenten auf eine offene Fehlersuche zu schicken, und wenn er viel Zeit und Mühe verschwendet und nichts findet, ist das keine große Sache. Zeit ist für einen menschlichen Entwickler mit Gehalt viel wichtiger.
- driverdan
Die README des Fuzzers ist ein einziger KI-Schrott. https://github.com/daedalus/fuzzer/
- justonenote
Was auch immer die Einzelheiten dieses Bugs sind und ob er ein nützlicher Vektor ist, das überrascht mich nicht im Geringsten.
Meine aktuelle Meinung zu LLMs ist, dass sie übermenschlich sind, weil ihnen Ermüdung fehlt, sie nahezu vollständiges Wissen über alle Themen haben, die Menschen zumindest öffentlich bekannt sind, und die Tatsache, dass man einen Harness zum Suchen von Bugs in einer berüchtigt komplexen C-Codebasis zusammenkodieren kann, ist Praktikantenniveau und kaum eine Neuigkeit.
Kluge angehende Blackhats werden als Nächstes tmux ins Visier nehmen, sowohl mit leichten LLM-Jailbreaks, leichten Supply-Chain-Angriffen (Websuchergebnissen) als auch mit LPEs in bestimmten Umgebungen, die vorher nicht besonders nützlich waren, aber mit Agenten, die stundenlang im Automatikmodus laufen, zu einem sehr wertvollen Sprungbrett werden. Ich bin mir nicht sicher, wie gut der tmux-Code ist, aber ich weiß, dass er in C geschrieben und sehr komplex ist und überhaupt nicht dafür ausgelegt war, sich gegen diese Art von Bedrohung zu verteidigen.
- cptroot
Das ist kein echter Bug in FFmpeg. Das ist eine Demonstration, dass man, wenn man ein benutzerdefiniertes AVIO-Modul kontrolliert, FFmpeg zum Absturz bringen kann, indem man ihm schlechte Daten gibt.
- ks2048
Zweifellos können Fuzzer (vibecoded oder nicht) mächtig sein, aber kann man nicht einfach alle "/" als potenzielle Division-durch-null-Fehler markieren?
Ich schätze, manchmal denken Entwickler, sie "wissen", dass eine Variable nicht null sein wird, aber wenn es nicht explizit geprüft oder vom Compiler geprüft wird, sollte man dem nicht vertrauen.
- 1saadcodes
Ich finde es ziemlich cool, dass ein so zusammengeschusterter Fuzzer tatsächlich einen Bug in FFmpeg gefunden hat.
- BikiniPrince
Lustige Sache, ich weiß, dass ich in der GStreamer-Entwicklung an etwas herumtaste, aber Fable flippt aus. Ich habe nur eine vage Vorstellung, wo das Problem liegen könnte.
Nächste Woche bewerbe ich mich für den Cyber und ich vermute, ich werde etwas Ähnliches finden.
Im Moment ist es nur nervig und dank OpenAI war der Cyber-Zugang viel einfacher zu bekommen.