FFmpeg VPK 디먹서의 0 나누기 결함, 확인된 영향과 남은 질문

FFmpeg의 VPK 디먹서에서 조작된 입력으로 0 나누기 충돌을 일으킬 수 있는 결함이 보고됐다. 현재 제시된 근거가 보여주는 영향은 재현 가능한 서비스 거부이며, 메모리 손상으로 이어진다는 증거는 없다.¹

무엇이 달라졌나

보고에 따르면 vpk_read_packet은 채널 수가 0인지 확인하지 않은 채 마지막 블록 크기를 채널 수로 나눈다. 따라서 채널 수가 0으로 설정된 입력을 처리하면 0 나누기가 발생해 FFmpeg 프로세스가 충돌할 수 있다.¹

이번에 확인된 것은 VPK 입력 처리 경로의 유효성 검사 누락과 그에 따른 충돌 가능성이다. 제공된 맥락에는 수정 패치, 영향을 받는 버전 범위, 수정본이 포함된 릴리스에 관한 정보가 없다.

배경

FFmpeg는 여러 멀티미디어 형식을 처리하는 오픈소스 프레임워크이며, VPK 디먹서를 포함한다. 디먹서는 입력 컨테이너의 데이터를 읽어 후속 처리 단계에 전달한다. 이번 보고는 그중 패킷을 읽는 과정에서 채널 수를 나눗셈의 분모로 사용하기 전에 0 여부를 검사하지 않는 문제를 지적한다.¹

왜 중요한가

공격자가 조작한 VPK 입력을 FFmpeg가 처리하도록 만들 수 있는 환경이라면, 해당 입력은 프로세스를 안정적으로 중단시키는 서비스 거부 수단이 될 수 있다.¹ 사용자 제공 파일이나 외부에서 수집한 미디어를 자동 변환·분석하는 시스템에서는 단일 비정상 입력이 작업 실패나 처리 중단으로 이어질 가능성을 검토할 필요가 있다.

다만 이 문제를 메모리 안전성 취약점과 동일하게 해석해서는 안 된다. 현재 근거는 산술 예외에 따른 충돌을 뒷받침하지만, 임의 코드 실행이나 메모리 손상 수단은 입증하지 않는다.¹

한계와 남은 질문

공개된 맥락만으로는 어떤 FFmpeg 버전과 빌드 구성이 영향을 받는지, 모든 운영체제에서 같은 방식으로 충돌하는지, 패치가 병합됐는지 확인할 수 없다. 실제 서비스의 영향도 입력 업로드 허용 여부, VPK 처리 경로 사용 여부, 프로세스 격리와 재시작 방식에 따라 달라질 수 있으나 이에 관한 구체적인 자료는 제공되지 않았다.

또한 보고의 심각도는 중간 수준으로 제시됐지만, 별도의 공식 보안 권고나 식별 번호, 배포판별 대응 상태는 이 맥락에 포함돼 있지 않다. 따라서 운영자는 문제의 존재와 서비스 거부 성격을 구분해 받아들이되, 정확한 영향 버전과 수정 상태는 추가 확인해야 한다.

관련 지식

이 사건은 [[topic:ai/infrastructure|AI 인프라]]에서 미디어 전처리처럼 외부 입력을 다루는 기반 도구의 안정성이 상위 서비스의 가용성에 영향을 줄 수 있음을 보여준다. AI 인프라는 모델 실행뿐 아니라 런타임, 스케줄링, 캐시 관리, 통신 계층과 같은 기반 구성 요소를 포함한다. 다만 제공된 자료는 이번 FFmpeg 결함이 특정 AI 시스템이나 vLLM 배포에 실제로 영향을 줬다고 말하지 않는다.

영향 대상 프로젝트는 [[project:ffmpeg|FFmpeg]]다.

출처

각주

1. FFmpeg 이슈 보고서, 「We found a division by zero bug in FFmpeg with a vibecoded fuzzer」, 2026년 8월 27일. ↩ ↩² ↩³ ↩⁴ ↩⁵