KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2017-9993 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
2.8.12之前的、3.1.9之前的3.0.x和3.1.x，3.2.6之前的3.2.x和3.3.2之前的3.3.x中的FFmpeg，没有正确限制HTTP Live Streaming文件扩展名和demuxer名称，这允许攻击者通过精心制作的播放列表数据读取任意文件。
影响范围
应用：ffmpeg ffmpeg（影响面 Up to (excluding) 2.8.12）
应用：ffmpeg ffmpeg（影响面 Up to (excluding) 3.1.9）
应用：ffmpeg ffmpeg（影响面 Up to (excluding) 3.2.6）
应用：ffmpeg ffmpeg（影响面 Up to (excluding) 3.3.2）
系统：alpine_3.4 ffmpeg（影响面 Up to (excluding) 3.1.9-r0）
系统：alpine_3.5 ffmpeg（影响面 Up to (excluding) 3.1.9-r0）
系统：alpine_3.6 ffmpeg（影响面 Up to (excluding) 3.2.6-r0）
系统：debian DPKG（影响面 Up to (excluding) 0）
……另有 7 项受影响环境，详见官方公告
解决方案
厂商已发布漏洞修复程序，请及时关注更新：
https://github.com/FFmpeg/FFmpeg/commit/189ff4219644532bdfa7bab28dfedaee4d6d4021
参考信息
http://www.debian.org/security/2017/dsa-3957
http://www.securityfocus.com/bid/99315
https://github.com/FFmpeg/FFmpeg/commit/189ff4219644532bdfa7bab28dfedaee4d6d4021
https://github.com/FFmpeg/FFmpeg/commit/a5d849b149ca67ced2d271dc84db0bc95a548abb
https://lists.debian.org/debian-lts-announce/2019/01/msg00006.html
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。