🎬 CVE-2026-8461 — PixelSmash

Kritischer Out-of-Bounds-Write im FFmpeg MagicYUV-Decoder

Eine bösartige Videodatei kann zur Waffe werden.

PixelSmash ist eine kritische Speicherkorruptions-Sicherheitslücke, die den MagicYUV-Decoder von FFmpeg betrifft und es einem Angreifer ermöglicht, einen Out-of-Bounds-Write auszulösen, was zu Anwendungsabstürzen und potenziell Remote-Code-Ausführung führt.

---

📖 Übersicht

CVE-2026-8461 ist eine Sicherheitslücke hoher Schwere, die im MagicYUV-Decoder von FFmpegs libavcodec entdeckt wurde.

Die Sicherheitslücke wird durch eine unzureichende Grenzenvalidierung während der Frame-Decodierung verursacht, die es speziell präparierten Mediendateien ermöglicht, über den zugewiesenen Speicher hinaus zu schreiben.

Anwendungen, die automatisch hochgeladene oder heruntergeladene Videos verarbeiten, können ohne Benutzerinteraktion angreifbar werden.

⚡ Schwachstelleninformationen

🧠 Grundursache

Der MagicYUV-Decoder versäumt es, bestimmte Abmessungen und Speichergrenzen beim Decodieren speziell präparierter Frames korrekt zu validieren.

Dies ermöglicht Schreibvorgänge außerhalb des vorgesehenen Heap-Puffers, wodurch benachbarte Speicherstrukturen beschädigt werden.

Speicherkorruption kann zu Folgendem führen:

• Prozessabsturz
• Heap-Korruption
• Denial of Service
• Potenzielle Remote-Code-Ausführung

💥 Angriffsszenario

Attacker
    │
    │ Uploads malicious MagicYUV video
    ▼
Media Server / Desktop Application
    │
    │ FFmpeg parses file
    ▼
MagicYUV Decoder
    │
    │ Out-of-Bounds Write
    ▼
Memory Corruption
    │
    ├── Application Crash
    ├── Service Disruption
    └── Potential Remote Code Execution

🎯 Potenziell betroffene Software

Anwendungen, die FFmpeg einbetten, können betroffen sein, darunter:

• Jellyfin
• Nextcloud
• mpv
• Kodi
• OBS Studio
• ffmpegthumbnailer
• Medienindizierungsdienste
• Videokonvertierungspipelines
• Automatische Thumbnail-Generatoren

🔥 Mögliche Auswirkungen

• 💣 Anwendungsabsturz
• 💣 Heap-Korruption
• 💣 Denial of Service
• 💣 Remote-Code-Ausführung (unter bestimmten Bedingungen)
• 💣 Kompromittierung von Medienverarbeitungsservern
• 💣 Bösartige Uploads, die auf automatisierte Workflows abzielen

🛡️ Abhilfe

✅ Upgrade auf FFmpeg 8.1.2 oder höher

✅ Ablehnen nicht vertrauenswürdiger Uploads

✅ Sandboxing der Medienverarbeitung

✅ Isolieren von Transcodierungsdiensten

✅ Deaktivieren der automatischen Vorschaugenerierung für nicht vertrauenswürdige Inhalte, wenn möglich

✅ Sicherheitsupdates des Anbieters umgehend anwenden

🔍 Erkennung

Sicherheitsteams sollten auf Folgendes achten:

• Unerwartete FFmpeg-Abstürze
• Segmentierungsfehler
• Heap-Korruptionsberichte
• Verdächtige MagicYUV-Medien-Uploads
• Wiederholte Decodierungsfehler
• Fehler bei der automatischen Thumbnail-Generierung

📊 Risikobewertung

📦 Behobene Version

📚 Referenzen

• NVD Advisory
• FFmpeg Security Advisory
• JFrog Security Research (PixelSmash)