- FFmpeg, dünya çapında medya işlemenin merkezindeki açık kaynak bir çerçeve ve VLC·Chrome·YouTube gibi büyük hizmetlerde kullanılan vazgeçilmez bir bileşen
- Kısa süre önce Google'ın yapay zeka tabanlı güvenlik tarayıcısı, 1995 tarihli bir oyun codec'iyle ilgili önemsiz bir hatayı buldu; bunun ardından büyük şirketlerin gönüllü geliştiricilere aşırı yük bindirdiği yönündeki tartışma büyüdü
- FFmpeg tarafı, “proje neredeyse tamamen gönüllüler tarafından sürdürülüyor” diyerek, Google'ın yalnızca zafiyet bildirmekle yetinmeyip yama sağlaması veya mali destek vermesi gerektiğini savundu
- Google ise Project Zero'nun kamuya açıklama politikası ve Patch Rewards programını dayanak göstererek şeffaf güvenlik katkısını vurguladı; ancak FFmpeg topluluğu ödül sınırları ile pratik destek eksikliğine dikkat çekti
- Bu tartışma, yapay zekanın ürettiği çok sayıdaki CVE ile açık kaynak bakımının sürdürülebilirliği sorununu görünür kılarak büyük teknoloji şirketlerinin sorumluluğu tartışmasına uzandı
FFmpeg ile Google arasındaki gerilimin özeti
- FFmpeg, ses ve video dosyaları için transcoding, oynatma ve streaming desteği sunan açık kaynak bir multimedya çerçevesi
- libavcodec, libavformat gibi temel kütüphaneler VLC, Kodi, Plex, Chrome, Firefox, YouTube ve benzerlerinde kullanılıyor
- Ancak diğer büyük açık kaynak projelerde olduğu gibi ciddi finansman yetersizliği yaşıyor
- X'te FFmpeg, Google, Chainguard ve güvenlik araştırmacıları arasında güvenlik açıklarının açıklanma yöntemi ve sorumluluğun kimde olduğu üzerine tartışma çıktı
- Tartışmanın merkezinde, yapay zekanın ürettiği çok sayıdaki zafiyet raporunun çoğu zaman gerçek değerinin düşük olması yer aldı
Tartışmanın çıkış noktası: Google yapay zekasının bulduğu önemsiz hata
- Google'ın yapay zeka ajanı, FFmpeg içinde LucasArts Smush codec decoding ile ilgili bir hata buldu
- Bu sorun, 1995 yapımı Rebel Assault 2 oyununun yalnızca ilk 10 ila 20 karesini etkileyen orta seviye bir zafiyet
- FFmpeg geliştiricileri bunu yamaladı, ancak verimsiz bildirimleri eleştirerek bunu “CVE slop” diye nitelendirdi
- FFmpeg, “FFmpeg aims to play every video file ever made” diyerek kusursuz uyumluluğu hedeflediğini belirtti; ancak kodun büyük bölümünün assembly diliyle yazıldığını ve bu yüzden bakımının zor olduğunu da ekledi
Açık kaynak bakımcılarının üzerindeki yük
- FFmpeg topluluğu, FFmpeg kullanan Google gibi büyük şirketlerin zafiyet düzeltme yükünü ücretsiz gönüllülere bıraktığını eleştirdi
- Buna göre Google, zafiyet bildirirken yama sağlamayı veya mali destek sunmayı da beraberinde getirmeli
- Benzer bir örnek olarak libxml2 bakımcısı Nick Wellnhofer, tekrarlayan üçüncü taraf güvenlik bildirimleri nedeniyle bakımı bırakacağını açıkladı
- Kendisinin ifadesiyle, karşılıksız çalışan bir gönüllünün her hafta saatlerini güvenlik sorunlarına ayırması sürdürülebilir değil
Google Project Zero'nun açıklama politikası etrafındaki tartışma
- Temmuz 2025'te Google Project Zero (GPZ), “Reporting Transparency” politikasını devreye aldı
- Bir zafiyet bulunduktan sonra 1 hafta içinde kamuya açıklanıyor, ardından 90 günlük düzeltme süresi otomatik olarak başlıyor
- Yama hazır olmasa bile açıklamanın yapılması, gönüllü odaklı projeler üzerinde aşırı baskı oluşturduğu gerekçesiyle eleştiriliyor
- FFmpeg, “Yapay zekanın hobi amaçlı yazılmış kodlardaki güvenlik sorunlarını bulup gönüllülerden bunları düzeltmesini istemesi adil mi?” diye sordu
- Google'ın Patch Rewards Program'ı mevcut olsa da FFmpeg, “ayda 3 bildirim sınırı gibi kısıtlar yüzünden bunun pratikte yardımcı olmadığını” söyledi
Zıt bakış açıları ve açık kaynağın sürdürülebilirliği
- Chainguard'dan Dan Lorenc, güvenlik açıklarını açıklamanın da dijital kamusal varlıklara bir katkı olduğunu söyleyerek Google'ın rolünü savundu
- Ona göre Google, açık kaynak desteğinde en aktif şirketlerden biri ve bu tür tartışmalar sponsorları daha da uzaklaştırabilir
- Buna karşın FFmpeg tarafı, yapay zekanın ürettiği çok sayıdaki CVE'ye yanıt verecek insan gücü ve bütçenin olmadığını vurguladı
- Güvenlik uzmanları ise FFmpeg'in internet altyapısının temel bileşenlerinden biri olduğu için zafiyet açıklamalarının gerekli olduğunu kabul ediyor
- Yazının sonunda, “büyük şirketlerin somut desteği olmadan çekirdek açık kaynak projelerini sürdürmek mümkün değil” denilerek, libxml2 örneği üzerinden sürdürülebilir sponsorluk yapılarının gerekliliği vurgulanıyor
15 yorum
Umarım bu durum WordPress vakfı ile WP Engine şirketi arasındaki ilişki gibi tamamen kopma noktasına gelmez?
Görünüşe göre https://daniel.haxx.se/blog/2024/…
yazısının devamı niteliğinde.
Yukarıdaki yazıda bireylerin bug bounty peşinde koşarak tamamen yanlış raporlar göndermesi söz konusuyken, FFmpeg vakasında büyük bir şirketin gönderdiği raporlar geçerli ama önemsiz nitelikte.
Google işaret etti diye mutlaka karşılık vermek zorunda mılar?
Açığın kendisi zaten ifşa edilmiş durumda olduğundan, müdahale etmekten başka çareleri yok gibi görünüyor.
Aha... Böyle bir bakış açısı olduğunu fark etmemiştim. Bildirdiğiniz için teşekkürler!
Açığın ifşa edilmesiyle bunun üzerinden saldırı gelebilecek bir durum söz konusuymuş, vay canına.
Aslında isterseler, açığın kamuya açıklanıp açıklanmaması fark etmez, "İhtiyacın varsa kendin düzelt" de diyebilirlerdi; ama sanırım ana bakımcılar bunu yapacak karakterde olmadıkları için proje bugüne kadar bu kadar gelişebildi.
Anladım.... Sanırım söylediğiniz doğru.
Sanırım olaya fazla kendi bakış açımdan yaklaşmışım.
Söylediğiniz için teşekkür ederim!
Hacker News görüşleri
Yazıdaki etkileyici bir nokta şuydu. Amazon içinde FFmpeg ile ilgili bir kararı engellemek için Mark Atwood'un yöneticilerine “Onlar bir vendor değil, NDA da yok ve onlar üzerinde etkimiz yok” diye açıklama yapmak zorunda kaldığı anlatılıyordu.
“Sadece sorun getirmeyin, çözüm de getirin” sözüne katılıyorum, ama Google'ın hata bulmaya para ayıracak bütçesi varsa, düzeltmeye de para harcayabileceğini düşünüyorum
Böylece kapalı yamalara bağımlı kalınmaz, en başta yardım alınan projeye karşılık verilmiş olur ve etik olarak da doğru olan budur.
Ama pratikte şirket içindeki compliance veya prosedür engelleri yüzünden upstream etmek zor olabiliyordu
S&P500 şirketlerinde çalışan birinin hata bildirebilmesi için belirli bir tutarda bağış yapması gereken ve belli bir miktarın altında ödeme yapılırsa belirli bir süre içinde yanıt beklenemeyeceğini söyleyen hicivsel bir lisans hayal ettim.
Şirketler işlerine gelmediğinde yazılımı kapalı kaynak yapmaya ya da AGPL'ye çevirmeye çekinmiyor; artık bedeli doğrudan ödemelerinin zamanı geldi
Bir açık kaynak bakımcısı olarak, büyük şirketlerin güvenlik sorunlarını ifşa ederek sanki ücretsiz emek dayatıyormuş gibi bir izlenim verdiği duygusuna katılıyorum.
Ama gerçekte, kim bildirmiş olursa olsun güvenlik meselesi sonunda benim çözmem gereken bir sorun.
Bir projenin güvenliği önceliklendirmemesi de sorun değil, ama o zaman buna eşlik eden itibar riskini de göze alması gerekir
Ticari şirketlerden hızlı düzeltme talep etmek makul olabilir ama aynı şeyi gönüllü tabanlı OSS için istemek gerçekçi değil
Bunun 1995 tarihli bir oyunun yalnızca ilk 10-20 karesinde ortaya çıktığı söyleniyor; buna “orta ciddiyet” demek bana abartılı geliyor.
Bakımcıların zamanını boşa harcatan bir örnek gibi duruyor
Ciddi bir sorunsa kimin bildirdiği fark etmez, bilinmesi iyidir; önemsiz ya da hatalı bir bildirimse görmezden gelinebilir.
Sonuçta hangi hatanın düzeltileceğine proje kendisi karar vermeli
FFmpeg ekibinin tavrını destekliyorum. Pek çok şirket FOSS'u sadece pazarlama amaçlı imaj aklama için kullanıyor ve gerçekte katkı vermiyor.
Eskiden olsa sadece korsan kullanacak kişiler, şimdi lisans sayesinde vicdan azabı duymadan kullanıyor denebilir
İçeride kullanmadığı codec'leri bile test etmesi tamamen kamu yararına bir iş.
Elbette Google'ın FFmpeg'e daha fazla finansman sağlama imkânı var, ama bu bakımcıya doğrudan para verilmesi fikrine bu olay özelinde katılmıyorum
Serbestçe kullanılabiliyor, ama suistimale de açık.
GPL 3'ün fazla sert olduğu söylense de, en azından sömürüyü engelleme niyeti vardı
Bir yanda çağa damga vuran yazılımları ücretsiz üreten insanlar, diğer yanda bundan yararlanıp tüm değeri çekip alan şirketler var.
İlki sevgiyle, ikincisi çıkar ilişkisiyle hareket ediyor
Büyük şirketlerde kamuya açık zafiyet ifşası gerekli olabilir, ama kaynağı kıt OSS için risk daha büyük olabilir
Google hızlı bir düzeltme istiyorsa yamayı da birlikte göndermeli, böylece herkes kazanır
Özellikle LLM'lerin bulabileceği düzeydeki zafiyetler ise, bir gün istismar edilmeleri muhtemel.
Açıklama sayesinde kullanıcılar kendilerini savunabilir ve FFmpeg'in bunu düzeltmeyi seçmesi de gönüllü bir karardır.
Güvenlik araştırmasının kendisi açık kaynağa yapılmış yüksek maliyetli bir katkı biçimidir.
Araştırmacılara “yeterince katkı vermiyorsunuz” demek, aslında gönüllülerden ücretsiz emek istemek olur
FOSS'un şeffaflığı, güvenlik farkındalığı açısından aslında faydalı
Gerçek dünyanın gri alanlarını kabul etmiyor
“Bir e-postayla üç ürün hattı durabiliyorsa”, yıllık 10-20 bin dolar civarında bir destek sigorta primi olarak bile gayet mantıklı görünüyor
Google ve Amazon ayrı ayrı sadece 50 bin dolar verse, FFmpeg geliştiricileri istikrarlı biçimde çalışabilir;
özellikle YouTube'u işleten Google için 100-200 bin dolar ödemek zor olmamalı
Google güvenlik yöneticisinin FFmpeg'e yapılan katkıları sıraladığı Twitter dizisini paylaşıyorum
Trilyon dolarlık bir şirketin personel ya da para sıkıntısı yaşadığını söylemesi ikna edici değil
Project Zero'nun amacını merak ediyorum.
Sadece zafiyet bulmanın ötesinde bir nedeni olup olmadığını bilmek isterim
Aynı zamanda güvenlik yeteneği çekme ve itibar yönetimi açısından da işlerine yarıyor.
Ama buna ayıracak imkân varsa, yama yazımına da yatırım yapılması gerektiğini düşünüyorum
Söz konusu zafiyet bir Use After Free idi ve bunu Google'ın AI'ı buldu.
Ama düzeltmesi 3 saniye bile sürmeyecek bir şeymiş gibi anlatılıyor.
Parası çok olan bir şirketin gönüllü bir projeye spam niteliğinde hata raporları yağdırması rahatsız edici
CVE sayılacak düzeyde bile değil; sıradan bir hata raporu olması yeterliydi
Bellek sızıntısını önlemek için daha karmaşık bir düzeltme gerekiyor.
Muhtemelen bu codec için doğru yön varsayılan olarak devre dışı kalması
Yemek vermişsin, şimdi de bohçayı çıkar diyorlar.
Hata raporları da sonuçta kesinlikle önemli bir katkı sayılır ama...
Birinin gönüllü olarak mahalleyi temizlediğini, ama mahallede en çok araziye sahip nüfuzlu kişinin gelip o temizlik yapan kişiye "şurada köşede bir sigara izmariti var" demesi gibi bir his olsa gerek.
Ben de bu benzetmenin doğru olduğunu düşünüyorum.
Yerinde bir benzetme.
Buna gerçekten söylenecek bir şey var mı? Okuyunca, yalnızca çok eski belirli bir oyunun ilk 10~20 karesinde geçerli olan, orta seviyede bir güvenlik açığı olduğu görülüyor. Bunun gerçekten FFmpeg tarafı için önemli bir katkı olduğunu düşünüyor musunuz? Bence açık kaynak topluluğuna yapılacak en önemli katkı, istikrarlı geliştirmeyi mümkün kılacak şekilde sponsor olmak; özellikle de ortaya çıkan ürünü yoğun biçimde kullanan bir şirketseniz, öncelik bu olmalı gibi görünüyor.
İşte bu tür insanlar yüzünden XZ'ye bir arka kapı yerleştirildi.
Hata raporunun kendisi gerçekten S sınıfı, ama Kennedy döneminde kullanılıyor olabilecek bir video formatındaki ciddi bir açığı süre içinde gideremediler diye bunu her yerde dillendirip duruyorlar.
Yenebilecek bir şey vermek yerine, mutlaka yenmesi gereken bir şeyi verip neden süre içinde yiyemediniz diye çıkışıyorlar.
ffmpegtarafında insan kaynağı sınırlıyken, Google'ın yapay zeka ile artık neredeyse hiç kullanılmayan formatlara dair onlarca hata raporu yağdırıp hepsini süre içinde düzeltmeleri için baskı yapması sizce doğru mu?