达芬奇调色软件被曝两个远程代码执行缺陷

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

Blackmagci Software 公司最近修复了非常热门的达芬奇调色 (DaVinci Resolve) 软件中的两个漏洞，它们可导致攻击者在未修复系统上执行代码。

达芬奇调色软件是免费的软件平台，是视频编辑和颜色修正、视觉效果、动态图像和音频后期制作工具的一体化解决方案。正如其开发者 Blackmagic 所述，达芬奇调色是“好莱坞最流行的编辑解决方案”，适用于 Mac、Windows 和 Linux 系统。

严重的远程代码执行缺陷

思科 Talos 团队的两名研究员从该软件中发现了两个远程代码执行漏洞（CVE-2021-40417和CVE-2021-40418），它们的CVSSv3 评分都是9.8分。它们都是由达芬奇调色DPDecoder 服务中的弱点引起的，是由解码视频文件时触发的堆缓冲区溢出漏洞或解析视频文件时触发的不正确的UUID造成的。

研究人员解释称，“CVE-2021-40417是一个基于堆的缓冲区溢出漏洞，当该应用面临一个整数溢出条件时即触发，在解码视频文件时，该整数溢出条件将导致符号延伸。CVE-2021-40418也可导致代码执行后果，但是由不正确的UUID导致的未初始化对象成员引发的。”远程攻击者可利用这两个漏洞发动复杂度低的攻击，无需认证或用户交互即可成功利用这两个漏洞。

补丁已发布

安全研究员在分析达芬奇调色软件版本 17.3.1.0005 时发现了这两个代码执行漏洞。

Blackmagic 已修复这两个漏洞，建议用户尽快更新至最新版本 17.4.3。

研究人员指出，“思科Talos 和 Blackmagic 协作，确保漏洞已解决且受影响客户收到更新。”

于本周早些时候发布的达芬奇调色软件 17.4.3 变更日志中还说明了安装该软件的详细步骤。

---

推荐阅读

点击一下，即可在 Windows 10 实现路过式远程代码执行，未修复

速修复！Palo Alto GlobalProtect VPN 中存在严重的远程代码执行漏洞

详述Visual Studio 代码远程开发扩展中的远程命令执行漏洞

流行的 NPM 包依赖关系中存在远程代码执行缺陷

详述 PyPI 中的远程代码执行漏洞，可引发供应链攻击

原文链接

https://www.bleepingcomputer.com/news/security/blackmagic-fixes-critical-davinci-resolve-code-execution-flaws/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~