PixelSmash: в FFmpeg нашли 16-летнюю уязвимость, позволяющую выполнить код через видеофайл

Если ваше приложение обрабатывает видео через FFmpeg — проверьте его сейчас. Исследователи безопасности JFrog раскрыли уязвимость PixelSmash, которая пролежала в коде 16 лет и позволяет выполнить произвольный код, просто подсунув жертве вредоносный видеофайл.

PixelSmash — это критическая уязвимость в декодере MagicYUV медиафреймворка FFmpeg. Она получила идентификатор CVE-2026-8461 и оценку CVSS 8.8. Ошибка представляет собой запись за пределы выделенной памяти (heap out-of-bounds write) и затрагивает все приложения, которые используют FFmpeg для декодирования видео.

Где опасность

Уязвимость опасна именно масштабом. MagicYUV включён по умолчанию во всех протестированных дистрибутивах — Ubuntu, Debian, Fedora, Arch, Alpine — до FFmpeg 9.0. Проблема проявляется не только в видеоплеерах, но и в файловых менеджерах, генерирующих миниатюры, медиасерверах, мессенджерах и облачных транскодерах.

Для эксплуатации не нужны ни права, ни аутентификация, ни предварительный доступ к системе. Достаточно, чтобы приложение попыталось декодировать вредоносный AVI, MKV или MOV размером около 50 КБ. Исследователи JFrog показали полную цепочку атаки: удалённое выполнение кода на Jellyfin через автоматическое сканирование библиотеки и на Nextcloud через провайдер превью видео.

• Десктоп: Kodi, mpv и другие плееры; миниатюры в файловых менеджерах.
• Серверы: Jellyfin, Emby, Nextcloud, Immich.
• Мессенджеры: Slack, Discord, Telegram.
• Облако: AWS MediaConvert, Cloudflare Stream и другие транскодинговые конвейеры.
• IoT и NAS: Synology, QNAP, smart TV и любые устройства, генерирующие превью.

Как проверить

Проверить наличие уязвимого декодера можно одной командой. Если в выводе есть строка VFS..D magicyuv, ваш FFmpeg подвержен уязвимости.

			ffmpeg -decoders 2>/dev/null | grep magicyuv
		

В случае положительного результата обновитесь до версии с патчем или пересоберите FFmpeg без декодера.

Как защититься

• Обновите FFmpeg до версии, содержащей исправление.
• Если обновление невозможно, пересоберите FFmpeg с флагом --disable-decoder=magicyuv.
• На серверах отключите автоматическую обработку загружаемых видео, где это не критично для бизнеса.
• Проверьте все устройства с FFmpeg: NAS, медиасерверы, IoT и контейнеры.

JFrog опубликовала минимальный патч для libavcodec/magicyuv.c. Он отклоняет искажённые значения slice_height, которые вызывают запись за пределы буфера. Корректный кодировщик MagicYUV всегда выдаёт выровненные значения, поэтому патч не ломает легитимные файлы.

			if ((s->slice_height >> s->vshift[1]) <= s->interlaced) {
    av_log(avctx, AV_LOG_ERROR, "impossible slice height\n");
    return AVERROR_INVALIDDATA;
}
if ((avctx->coded_height % s->slice_height) && ((avctx->coded_height % s->slice_height) >> s->vshift[1]) <= s->interlaced) {
    av_log(avctx, AV_LOG_ERROR, "impossible height\n");
    return AVERROR_INVALIDDATA;
}
		

FAQ

Выводы

PixelSmash — очередное напоминание о том, что foundation-библиотеки вроде FFmpeg работают под капотом огромного числа приложений. Один баг в кодеке, пролежавший 16 лет, одновременно угрожает десктопным плеерам, облачным транскодерам и бытовым NAS. Лучшая защита — своевременное обновление и аудит зависимостей.

Источник: JFrog Security Research / InfoQ.