Vulnerabilidades de alta severidade identificadas
Múltiplas vulnerabilidades de alta severidade foram identificadas no FFmpeg, a estrutura multimídia de código aberto amplamente utilizada. Essas falhas impactam componentes de análise, decodificação, filtragem e codificação de mídia e podem ser acionadas quando um aplicativo processa arquivos maliciosos. Vários problemas podem levar à corrupção de memória heap, o que pode fazer com que um aplicativo afetado falhe e, em certos cenários, possa ser explorado para execução arbitrária de código.
Detalhes técnicos das falhas
O CVE-2026-66036 tem uma pontuação CVSS de 7.7 e afeta o filtro de desnoisagem de vídeo vf_hqdn3d. Um atacante pode fornecer um vídeo onde a resolução do quadro aumenta após o primeiro quadro. Quando a reinitialização do filtergraph é desabilitada usando a opção -reinit_filter 0, o FFmpeg aloca buffers de linha-história com base na largura do quadro inicial. Quadros maiores posteriormente no fluxo podem fazer com que denoise_spatial() escreva fora desses buffers, corrompendo a memória heap.
O CVE-2026-66041, também classificado como 7.7, afeta o filtro vf_quirc no FFmpeg versões 7.0 a 8.1. Um arquivo de legenda PGS/SUP elaborado pode conter uma apresentação posterior com dimensões maiores que a apresentação inicial, fazendo com que o FFmpeg copie dados excessivos em um buffer de imagem em escala de cinza subdimensionado usado pelo libquirc.
Outras vulnerabilidades críticas
O CVE-2026-66039 é uma questão de transbordamento de buffer de heap e overflow de inteiro no decodificador de áudio MACE6. Um arquivo CAF malicioso pode explorar valores grandes para bytes_per_packet e frames_per_packet. Esse overflow pode levar a uma alocação subdimensionada seguida de uma escrita fora dos limites. O CVE-2026-66040 afeta os codificadores nativos PNG e APNG do FFmpeg. Uma imagem PNG elaborada contendo um bloco de metadados eXIf malicioso pode fazer com que a serialização de saída exceda o tamanho de alocação estimado.
O CVE-2026-66037 é uma falha de consumo de recursos não controlados no demuxer IAMF, com pontuação CVSS de 7.1. Um arquivo especialmente elaborado de 171 bytes pode acionar alocação de memória de vários gigabytes através de um campo count_label controlado pelo atacante, potencialmente causando uma condição de falta de memória durante a sondagem de formato. O CVE-2026-66038, também pontuado como 7.1, afeta o decodificador de vídeo LCL/ZLIB.
Impacto na segurança
Um fluxo zlib válido, mas curto, pode deixar partes de um quadro de saída não inicializadas. O FFmpeg pode então copiar conteúdos de heap não inicializados para a saída observável, potencialmente divulgando dados de alocador e enfraquecendo as proteções de Address Space Layout Randomization (ASLR) em serviços de longa duração. Essas vulnerabilidades foram abordadas em commits upstream do FFmpeg.
Recomendações de mitigação
As organizações devem atualizar o FFmpeg imediatamente para uma versão que inclua as correções upstream. As correções relevantes incluem commits 5d7112c, 8670835, e7cbfd1, aafb5c6, b506faf e 4da9812. Se o patch imediato não for viável, os administradores devem restringir o processamento de mídia não confiável, isolar cargas de trabalho de transcodificação, impor limites de memória e evitar usar configurações de filtro arriscadas, como -reinit_filter 0, com entradas de vídeo não confiáveis.
Conclusão
As vulnerabilidades no FFmpeg representam um risco significativo para aplicativos que processam mídia, especialmente em ambientes onde arquivos de vídeo são recebidos de fontes não confiáveis. A corrupção de memória heap pode levar a execução remota de código, tornando a atualização prioritária. A implementação de limites de memória e isolamento de cargas de trabalho de transcodificação pode mitigar riscos temporariamente.