Blackmagic Software, son derece popüler DaVinci Resolve yazılımında, saldırganların yama uygulanmamış sistemlerde kod yürütme elde etmesine olanak sağlayacak iki güvenlik açığını kısa süre önce ele aldı.
DaVinci Çözümü video düzenleme ve renk düzeltme, görsel efektler, hareketli grafikler ve ses post prodüksiyon araçlarını tek bir çözümde birleştiren ücretsiz bir yazılım platformudur.
Geliştiricisi Blackmagic’in iddia ettiği gibi DaVinci Resolve, Mac, Windows ve Linux için “Hollywood’un en popüler kurgu çözümüdür”.
Kritik uzaktan kod yürütme kusurları
İki uzaktan kod yürütme (RCE) güvenlik açığı, şu şekilde izlendi: CVE-2021-40417 ve CVE-2021-40418, Cisco Talos güvenlik araştırmacıları tarafından keşfedildi ve CVSSv3 önem puanı 9,8/10.
Her ikisi de DaVinci Resolve’nin DPDecoder hizmetinde bulunan zayıflıklardan kaynaklanır ve bir video dosyasının kodunu çözerken yığın tabanlı bir arabellek taşması veya video dosyalarını ayrıştırırken yanlış bir UUID tarafından tetiklenir.
“[CVE-2021-40417] uygulama, bir video dosyasının kodunu çözmeye çalışırken bir işaret uzantısına yol açan bir tamsayı taşması koşuluyla karşılaştığında oluşan yığın tabanlı bir arabellek taşması güvenlik açığıdır.” Cisco Talos açıkladı.
“Alternatif olarak, [CVE-2021-40418] kod yürütülmesine de yol açabilir, ancak bunun yerine yanlış bir UUID sonucu başlatılmamış bir nesne üyesinin sonucu olarak tetiklenir.”
Hatalardan, kimlik doğrulama veya kullanıcı etkileşimi gerektirmeyen başarılı bir şekilde yararlanma ile düşük karmaşıklık saldırılarında uzak tehdit aktörleri tarafından kullanılabilir.
Mevcut yamalar
Cisco Talos, DaVinci Resolve, sürüm 17.3.1.0005’i analiz ederken iki kod yürütme güvenlik açığını keşfetti.
Blackmagic o zamandan beri her iki hatayı da düzeltti ve kullanıcılara DaVinci Resolve 17.4.3’e güncelleme yapmaları tavsiye ediliyor. en son yayınlanan sürüm platformları için mümkün olan en kısa sürede.
Cisco Talos ekibi, “Cisco Talos, bu sorunların çözülmesini ve etkilenen müşteriler için bir güncellemenin mevcut olmasını sağlamak için Blackmagic ile birlikte çalıştı.” Dedi.
DaVinci Resolve yazılımını cihazınıza nasıl kuracağınıza dair ayrıntılı bilgiyi şurada bulabilirsiniz: DaVinci Resolve 17.4.3 değişiklik günlüğü, bu hafta başlarında yayınlandı.