Überprüfen Sie alle Systeme auf die Verwendung von FFmpeg und planen Sie die sofortige Anwendung von Patches, sobald diese vom Hersteller veröffentlicht werden.
▸▾Herleitung der Bewertung(2)
Wie der Wert zustande kommt
- Hoechster CVSS-Basiswert 5.5+10
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-120210, CVSS-Vektor AV:N/PR:N)+10
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Darunter eine behoerdliche Primaerquelle
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
[NEU] [UNGEPATCHT] [mittel] ffmpeg: Mehrere Schwachstellen ermöglichen Offenlegung von Informationen
In ffmpeg-Versionen bis einschließlich 9.0.2 wurden mehrere ungepatchte Schwachstellen entdeckt, die es einem entfernten Angreifer ermöglichen, Informationen offenzulegen. Betroffen sind Plattformen wie UNIX und Windows, die ffmpeg nutzen. Es wird dringend empfohlen, die Software umgehend zu aktualisieren, sobald Patches verfügbar sind, um die Sicherheitslücken zu schließen.
SecBoard-Einordnung
Die Schwachstellen ermöglichen die Offenlegung sensibler Informationen durch entfernte Angreifer, was zu Datenlecks und potenziellen weiteren Kompromittierungen führen kann.
Realistisch schlimmster Fall: Ein entfernter Angreifer könnte sensible Informationen aus Systemen extrahieren, die FFmpeg nutzen, was zu schwerwiegenden Datenschutzverletzungen und Reputationsschäden führen kann.
Key Facts
- CVSS
- 5.5 · MEDIUM
- EPSS
- 0.1%
- Über das Netz
- nein
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- ja
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit
- Patch
- unbekannt
- Zuweisende CNA
- disclosure@vulncheck.com
- CVSS
- 5.5 · MEDIUM
- EPSS
- 0.1%
- Über das Netz
- nein
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- ja
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit
- Patch
- unbekannt
- Zuweisende CNA
- disclosure@vulncheck.com
- CVSS
- 5.5 · MEDIUM
- EPSS
- 0.1%
- Über das Netz
- nein
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- ja
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit
- Patch
- unbekannt
- Zuweisende CNA
- disclosure@vulncheck.com
- CVSS
- 5.5 · MEDIUM
- EPSS
- 0.1%
- Über das Netz
- nein
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- ja
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit
- Patch
- unbekannt
- Zuweisende CNA
- disclosure@vulncheck.com
- CVSS
- 5.5 · MEDIUM
- EPSS
- 0.1%
- Über das Netz
- nein
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- ja
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit
- Patch
- unbekannt
- Zuweisende CNA
- disclosure@vulncheck.com
- CVSS
- 4.3 · MEDIUM
- EPSS
- 0.3%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- ja
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit
- Patch
- unbekannt
- Zuweisende CNA
- disclosure@vulncheck.com
Betroffen
Organisationen, die FFmpeg auf UNIX-, Windows- oder anderen Plattformen einsetzen, sind betroffen.
Prüfen
3- ▸Überprüfen Sie alle installierten FFmpeg-Versionen auf betroffene Versionen (bis einschließlich 9.0.2).
- ▸Überwachen Sie die offiziellen FFmpeg-Kanäle auf die Veröffentlichung von Sicherheitsupdates und Patches.
▸ 1 weitere▾ weniger
- ▸Führen Sie regelmäßige Schwachstellenscans auf Systemen durch, die FFmpeg verwenden, um ungepatchte Instanzen zu identifizieren.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die genaue Art der offengelegten Informationen ist nicht spezifiziert.
- ▸Die spezifischen CVE-IDs der Schwachstellen sind nicht im Artikel genannt.
- ▸Es ist nicht spezifiziert, welche genauen Angriffsvektoren für die Informationslecks genutzt werden.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Möglich
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Windows extern erreichbar?
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„ermöglichen Offenlegung von Informationen“
„ermöglichen Offenlegung von Informationen“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.