Уязвимость PixelSmash превращает видеофайлы в инструмент удаленного выполнения кода

JFrog Security Research раскрыла уязвимость PixelSmash в FFmpeg - одном из самых распространенных фреймворков для обработки мультимедиа. Проблема получила идентификатор CVE-2026-8461 и оценку 8,8 балла по CVSS. Она связана с heap out-of-bounds write в декодере MagicYUV и может привести к удаленному выполнению кода при обработке специально созданного медиафайла.

Для атаки достаточно доставить жертве вредоносный файл в контейнере AVI, MKV или MOV. На десктопе уязвимость может сработать при открытии видео в плеере или даже при просмотре папки, если файловый менеджер генерирует превью через FFmpeg. На сервере риск выше: файл можно загрузить в медиасервер, облачный транскодер, чат-платформу или хранилище, где обработка видео запускается автоматически.

JFrog показала практическую эксплуатацию на двух независимых целях: Jellyfin и Nextcloud. В обоих случаях удаленное выполнение кода удалось получить после загрузки специально подготовленного AVI-файла размером около 50 КБ. В случае Jellyfin атака проходила через автоматическое сканирование медиатеки, а в Nextcloud - через механизм генерации видеопревью.

PixelSmash опасна из-за масштаба зависимости от FFmpeg. По данным JFrog, сбой подтвержден в Kodi, mpv, ffmpegthumbnailer, Jellyfin, Emby, Nextcloud, Immich, PhotoPrism и OBS Studio. При этом уязвимость не была ошибкой этих проектов: они унаследовали ее через libavcodec и включенный по умолчанию декодер MagicYUV.

FFmpeg выпустил исправленную версию 8.1.2 17 июня. Пользователям и администраторам рекомендуют обновить FFmpeg как можно быстрее. Если обновление невозможно, JFrog советует пересобрать FFmpeg с отключенным декодером MagicYUV или применить минимальный патч, блокирующий некорректные значения slice height, которые запускают переполнение.