Офисный редактор в одной компании утром открыл видеоролик из чата — и получил зависший плеер, а потом внезапный сбой в системе, где этот ролик обрабатывался автоматически. В другой организации администратор увидел сразу несколько уведомлений об обновлении браузера: Chrome закрыл сотни ошибок за один релиз. Эти новости на первый взгляд про разные продукты, но смысл у них один — атакующие и исследователи теперь находят дыры быстрее, чем команды успевают их переваривать.

Что случилось

Сразу два заметных события пришли почти одновременно. Исследователи сообщили о 21 ранее неизвестной уязвимости в FFmpeg — библиотеке, которая отвечает за работу с видео и аудио во множестве программ, сервисов и устройств. Почти параллельно Google выпустила Chrome 149 с исправлениями 429 ошибок безопасности — это рекорд для одного релиза.

Важно не число само по себе, а то, как оно выросло. В одном случае уязвимости нашёл автономный ИИ-агент, который просканировал код и добился воспроизводимых сбоев. В другом — Google столкнулась с потоком ИИ-сгенерированных отчётов и изменила правила приёма багов.

Как это работает технически

FFmpeg встроен в огромное число продуктов: от медиасервисов и контейнеров до Python-пакетов и промышленных устройств. Если в такой библиотеке есть ошибка в обработке входных данных, достаточно специально сформированного файла, потока или пакета, чтобы вызвать переполнение стека или кучи, утечку памяти или отказ в обслуживании.

В этом материале речь идёт именно о таких сценариях. Исследователи нашли проблемы в парсерах и демультиплексорах, а также в коде, который разбирает отдельные форматы видео. Некоторые ошибки, по словам авторов исследования, сидели в коде 15–20 лет, а одна — с 2003 года.

Chrome 149 закрывает другой класс проблем. Среди 429 исправлений много use-after-free и ошибок проверки входных данных. Самая тяжёлая дыра, по данным Google, позволяла через специально подготовленную страницу выйти за пределы песочницы и запустить код на хосте.

Почему это опасно

Главная проблема — не только в самом баге, но и в масштабе распространения. FFmpeg редко стоит «сам по себе»: его тащат с собой приложения, образы контейнеров, пакеты и встроенные решения. Если разработчик обновил только системный пакет, а встроенная копия осталась старой, риск никуда не делся.

Для браузера картина похожа. Обычный пользователь видит «ещё одно обновление», но за ним может стоять исправление дыры, через которую вредоносная страница получает доступ к данным или код выполнится вне песочницы. Именно поэтому браузерные патчи нельзя откладывать на потом — рекордные обновления Chrome и браузерная гигиена в реальности часто решают больше, чем антивирусные обещания.

Сюда же ложится и общая тенденция: ИИ резко удешевил поиск уязвимостей. Это значит, что у атакующих и исследователей появилось больше инструментов, а у защитников — больше работы по сортировке, проверке и быстрому выпуску патчей. Похожую динамику уже видно и в других расследованиях, где автоматизация помогает искать и закрывать дыры в корпоративной среде.

Как понять, касается ли это вас

Если у вас дома или в компании есть браузер, видеоплеер, сервер обработки медиа, CMS, видеохостинг, система видеонаблюдения, мобильное приложение или Python-сервис с библиотеками для работы с видео, это уже ваша история. Даже если вы не устанавливали FFmpeg вручную, он может быть внутри другой программы.

Для обычного пользователя сигнал простой: браузер просит обновиться, а приложения для просмотра и обработки видео начинают работать нестабильно после открытия подозрительного файла. Для бизнеса красный флаг — любые сервисы, которые принимают внешние медиафайлы, потоки RTSP или AV1-over-RTP. Если такие входные данные приходят извне, их нужно считать недоверенными по умолчанию.

Как защититься

Первое правило — ставить обновления быстро, особенно если они закрывают критические баги. Для Chrome это стоит делать сразу после выхода новой версии, а не «когда будет время». Для серверов и рабочих станций важны не только системные пакеты, но и все встроенные зависимости.

Второе — пересмотреть, где у вас используется FFmpeg и похожие библиотеки. Разработчикам и администраторам стоит проверить контейнеры, wheels, встроенные SDK и аппаратные устройства: нередко именно там остаётся старая версия, даже если основной сервер уже обновлён.

Третье — не полагаться на один защитный слой. Менеджер паролей, двухфакторная аутентификация и шифрование трафика на личных устройствах дают куда больше пользы в сумме, чем разрозненные настройки. Для приватности в публичных сетях можно присмотреться к сервису для зашифрованного канала на личных устройствах — как к одному из инструментов цифровой гигиены, а не как к универсальному ответу на все угрозы.

Чек-лист: что сделать прямо сейчас

  • Обновить Chrome до актуальной версии на всех устройствах.
  • Проверить, где в вашей среде используется FFmpeg и нет ли там старых копий.
  • Пересобрать контейнеры и пакеты, если в них зашита уязвимая медиабиблиотека.
  • Ограничить приём внешних медиафайлов там, где это не обязательно.
  • Включить автообновления для браузеров и рабочих приложений.
  • Убедиться, что у важных аккаунтов включена двухфакторная защита.
  • Проверить, как быстро у вас в компании проходит установка security-патчей.
Поделиться: