🎬 CVE-2026-8461 — PixelSmash

Écriture hors limites critique dans le décodeur MagicYUV de FFmpeg

Un fichier vidéo malveillant peut devenir une arme.

PixelSmash est une vulnérabilité critique de corruption mémoire affectant le décodeur MagicYUV de FFmpeg qui permet à un attaquant de déclencher une écriture hors limites, provoquant des plantages d'application et potentiellement l'exécution de code à distance.

---

📖 Aperçu

CVE-2026-8461 est une vulnérabilité de Haute Sévérité découverte dans le décodeur MagicYUV de libavcodec de FFmpeg.

La vulnérabilité est causée par une validation incorrecte des limites lors du décodage des trames, permettant à des fichiers média spécialement conçus d'écrire au-delà de la mémoire allouée.

Les applications qui traitent automatiquement les vidéos téléchargées ou reçues peuvent devenir vulnérables sans nécessiter d'interaction de l'utilisateur.

⚡ Informations sur la vulnérabilité

🧠 Cause racine

Le décodeur MagicYUV ne parvient pas à valider correctement certaines dimensions et limites mémoire lors du décodage de trames spécialement conçues.

Cela permet des écritures en dehors du tampon tas prévu, corrompant les structures mémoire adjacentes.

La corruption mémoire peut entraîner :

• Plantage du processus
• Corruption du tas
• Déni de service
• Exécution de code à distance potentielle

💥 Scénario d'attaque

Attacker
    │
    │ Uploads malicious MagicYUV video
    ▼
Media Server / Desktop Application
    │
    │ FFmpeg parses file
    ▼
MagicYUV Decoder
    │
    │ Out-of-Bounds Write
    ▼
Memory Corruption
    │
    ├── Application Crash
    ├── Service Disruption
    └── Potential Remote Code Execution

🎯 Logiciels potentiellement affectés

Les applications intégrant FFmpeg peuvent être affectées, notamment :

• Jellyfin
• Nextcloud
• mpv
• Kodi
• OBS Studio
• ffmpegthumbnailer
• Services d'indexation de médias
• Pipelines de conversion vidéo
• Générateurs automatiques de vignettes

🔥 Impacts possibles

• 💣 Plantage de l'application
• 💣 Corruption du tas
• 💣 Déni de service
• 💣 Exécution de code à distance (dans des conditions spécifiques)
• 💣 Compromission des serveurs de traitement de médias
• 💣 Téléversements malveillants ciblant les workflows automatisés

🛡️ Atténuation

✅ Mise à jour vers FFmpeg 8.1.2 ou ultérieur

✅ Rejeter les téléversements non fiables

✅ Isoler le traitement des médias dans un bac à sable

✅ Isoler les services de transcodage

✅ Désactiver la génération automatique d'aperçus pour les contenus non fiables lorsque c'est possible

✅ Appliquer rapidement les mises à jour de sécurité des fournisseurs

🔍 Détection

Les équipes de sécurité doivent surveiller :

• Les plantages inattendus de FFmpeg
• Les erreurs de segmentation
• Les rapports de corruption de tas
• Les téléversements suspects de médias MagicYUV
• Les échecs de décodage répétés
• Les échecs de génération automatique de vignettes

📊 Évaluation des risques

📦 Version corrigée

📚 Références

• Avis NVD
• Avis de sécurité FFmpeg
• Recherche en sécurité JFrog (PixelSmash)