CVE-2026-8461

Nome do Software Vulnerável e Versões Afetadas FFmpeg versões anteriores a 8.1.2

Description Uma falha de gravação fora dos limites da heap (heap out-of-bounds write), apelidada de PixelSmash, existe na biblioteca libavcodec, especificamente no decodificador MagicYUV. O problema decorre de uma incompatibilidade de arredondamento no código de manipulação de fatias (slices), onde a validação inadequada da variável slice height permite que um invasor manipule a memória do buffer. Ao fornecer um arquivo de mídia especialmente criado nos formatos AVI, MKV ou MOV (com apenas 50 KB), um invasor remoto pode causar a negação de serviço ou executar código arbitrário.

A exploração técnica envolve o transbordamento do buffer do plano de croma para sobrescrever a estrutura AVBuffer, que contém um ponteiro de função. Ao substituir esse ponteiro pelo endereço da função system() e fornecer um comando de shell, o invasor pode alcançar a execução remota de código durante a limpeza normal de quadros quando av frame unref() é chamada. Isso pode ser acionado sem interação do usuário (zero-click) por meio de varreduras automáticas de biblioteca de mídia, extração de metadados ou geração de miniaturas em aplicativos como Jellyfin, Nextcloud, Kodi, Emby, Immich e OBS Studio. A vulnerabilidade é considerada um risco de cadeia de suprimentos devido à integração generalizada da libavcodec em vários servidores de mídia, plataformas de nuvem e dispositivos IoT.

Recommendations Atualize o FFmpeg para a versão 8.1.2 ou posterior. Como mitigação temporária, desative o decodificador MagicYUV ou restrinja o processamento de arquivos de mídia não confiáveis.