【漏洞公告】FFmpeg本地文件任意读取漏洞

近日，白帽在HackerOne平台上报了ffmpeg漏洞，该漏洞利用ffmpeg的HLS播放列表处理方式，可导致本地文件曝光，目前POC已经公开，安全风险高危，为了确保您的业务正常，防止数据泄露，建议您尽快排查和升级。
FFmpeg是一个免费的多媒体框架,可以运行音频和视频多种格式的录影、转换、流功能,能让用户访问几乎所有视频格式,包括mkv、flv、mov,VLC Media Player、Google Chrome浏览器都已经支持。
具体详情如下:                                                                                  

• FFmpeg 2.6.8
• FFmpeg 3.2.2
• FFmpeg 3.2.5

• 目前官方最新版本为3.3.2，建议用户更新到最新版本 ；
• 将file://等危险协议类型添加到黑名单,禁止读取高风险文件信息

• http://www.freebuf.com/vuls/138377.html
• https://hackerone.com/reports/242831