🎬 CVE-2026-8461 — PixelSmash

FFmpeg MagicYUV 解码器中的严重越界写入漏洞

恶意视频文件可以成为武器。

PixelSmash 是一个影响 FFmpeg MagicYUV 解码器的严重内存损坏漏洞，攻击者可利用它触发越界写入，导致应用程序崩溃，甚至可能实现远程代码执行。

---

📖 概述

CVE-2026-8461 是在 FFmpeg 的 libavcodec MagicYUV 解码器中发现的一个高危漏洞。

该漏洞是由于帧解码过程中边界验证不当造成的，允许特制的媒体文件写入分配内存之外的位置。

自动处理上传或下载视频的应用程序可能无需用户交互即受影响。

⚡ 漏洞信息

🧠 根因分析

MagicYUV 解码器在解码特制帧时未能正确验证某些尺寸参数和内存边界。

这导致写入超出预期的堆缓冲区，损坏相邻内存结构。

内存损坏可能导致：

• 进程崩溃
• 堆损坏
• 拒绝服务
• 潜在远程代码执行

💥 攻击场景

攻击者
    │
    │ 上传恶意 MagicYUV 视频
    ▼
媒体服务器 / 桌面应用程序
    │
    │ FFmpeg 解析文件
    ▼
MagicYUV 解码器
    │
    │ 越界写入
    ▼
内存损坏
    │
    ├── 应用程序崩溃
    ├── 服务中断
    └── 潜在远程代码执行

🎯 可能受影响的软件

嵌入 FFmpeg 的应用程序可能受影响，包括：

• Jellyfin
• Nextcloud
• mpv
• Kodi
• OBS Studio
• ffmpegthumbnailer
• 媒体索引服务
• 视频转换流水线
• 自动缩略图生成器

🔥 可能造成的影响

• 💣 应用程序崩溃
• 💣 堆损坏
• 💣 拒绝服务
• 💣 远程代码执行（特定条件下）
• 💣 媒体处理服务器被攻陷
• 💣 恶意上传攻击自动化工作流

🛡️ 缓解措施

✅ 升级到 FFmpeg 8.1.2 或更高版本

✅ 拒绝不受信任的上传

✅ 对媒体处理进行沙箱隔离

✅ 隔离转码服务

✅ 尽可能禁用对不受信任内容的自动预览生成

✅ 及时应用供应商安全更新

🔍 检测

安全团队应监控以下内容：

• 意外的 FFmpeg 崩溃
• 段错误
• 堆损坏报告
• 可疑的 MagicYUV 媒体上传
• 重复的解码失败
• 自动缩略图生成失败

📊 风险评估

📦 修复版本

📚 参考来源

• NVD 公告
• FFmpeg 安全公告
• JFrog 安全研究（PixelSmash）