🎬 CVE-2026-8461 — PixelSmash

FFmpeg MagicYUVデコーダにおける重大な境界外書き込み

悪意のある動画ファイルが武器になり得ます。

PixelSmash は、FFmpegのMagicYUVデコーダに影響を与える重大なメモリ破損の脆弱性であり、攻撃者が境界外書き込みを引き起こし、アプリケーションのクラッシュや、潜在的にリモートコード実行を引き起こす可能性があります。

---

📖 概要

CVE-2026-8461 は、FFmpegのlibavcodec MagicYUVデコーダで発見された高深刻度の脆弱性です。

この脆弱性は、フレーム復号化時の境界チェック不備により発生し、特別に細工されたメディアファイルが割り当てられたメモリを越えて書き込みを行うことを可能にします。

アップロードまたはダウンロードされた動画を自動的に処理するアプリケーションは、ユーザーの操作を必要とせずに脆弱になる可能性があります。

⚡ 脆弱性情報

🧠 根本原因

MagicYUVデコーダは、特別に細工されたフレームを復号化する際に、特定の寸法やメモリ境界を正しく検証できません。

これにより、意図されたヒープバッファの外側への書き込みが可能になり、隣接するメモリ構造を破損します。

メモリ破損は以下を引き起こす可能性があります：

• プロセスクラッシュ
• ヒープ破損
• サービス拒否
• 潜在的なリモートコード実行

💥 攻撃シナリオ

攻撃者
    │
    │ 悪意のあるMagicYUV動画をアップロード
    ▼
メディアサーバー / デスクトップアプリケーション
    │
    │ FFmpegがファイルを解析
    ▼
MagicYUVデコーダ
    │
    │ 境界外書き込み
    ▼
メモリ破損
    │
    ├── アプリケーションクラッシュ
    ├── サービス中断
    └── 潜在的なリモートコード実行

🎯 影響を受ける可能性のあるソフトウェア

FFmpegを組み込んでいるアプリケーションが影響を受ける可能性があります。以下を含みます：

• Jellyfin
• Nextcloud
• mpv
• Kodi
• OBS Studio
• ffmpegthumbnailer
• メディアインデックスサービス
• 動画変換パイプライン
• 自動サムネイル生成ツール

🔥 考えられる影響

• 💣 アプリケーションクラッシュ
• 💣 ヒープ破損
• 💣 サービス拒否
• 💣 リモートコード実行 (特定の条件下)
• 💣 メディア処理サーバーの侵害
• 💣 自動化ワークフローを標的とした悪意のあるアップロード

🛡️ 緩和策

✅ FFmpeg 8.1.2以降にアップグレード

✅ 信頼できないアップロードを拒否

✅ メディア処理をサンドボックス化

✅ トランスコードサービスを分離

✅ 可能な場合は信頼できないコンテンツの自動プレビュー生成を無効化

✅ ベンダーのセキュリティアップデートを速やかに適用

🔍 検出

セキュリティチームは以下を監視すべきです：

• 予期しないFFmpegのクラッシュ
• セグメンテーションフォルト
• ヒープ破損の報告
• 疑わしいMagicYUVメディアのアップロード
• 繰り返されるデコード失敗
• 自動サムネイル生成の失敗

📊 リスク評価

📦 修正バージョン

📚 参考情報

• NVD Advisory
• FFmpeg Security Advisory
• JFrog Security Research (PixelSmash)