Pixelsmash: Lücke in FFmpeg-Decoder gefährdet unzählige Systeme
Sicherheitsforscher von JFrog haben eine gefährliche Sicherheitslücke in dem weitverbreiteten freien Multimedia-Framework FFmpeg aufgedeckt. Wie die Forscher in einem Blogbeitrag(öffnet im neuen Fenster) schildern, können Angreifer damit zahlreiche auf FFmpeg angewiesene Softwarelösungen zum Absturz bringen. In einigen Fällen, etwa bei Jellyfin und Nextcloud, soll sogar eine Schadcodeausführung möglich sein.
Die Forscher nennen ihre Entdeckung Pixelsmash. Die Lücke ist als CVE-2026-8461(öffnet im neuen Fenster) registriert und erreicht einen hohen Schweregrad (CVSS: 8,8). Laut Beschreibung klafft sie in der libavcodec-Bibliothek respektive dem MagicYUV-Decoder von FFmpeg. Ursache sind mögliche Schreibvorgänge außerhalb vorgegebener Grenzen (Out-of-bounds Write(öffnet im neuen Fenster)).
Nach Angaben von JFrog liegt der Fehler in der Art und Weise, wie der Decoder sogenannte Slices verarbeitet. Dabei handelt es sich um horizontal unterteilte Bereiche einzelner Videoframes, die jeweils unabhängig vom Rest dekodiert werden können. Bei der Umwandlung der Slice-Höhen von Luma-Zeilen in Chroma-Zeilen soll es in einigen Fällen zu Rundungsfehlern kommen, welche Schreibvorgänge außerhalb eines zugewiesenen Puffers auslösen.
Mit Videodatei Medienserver infiltriert
Laut JFrog soll sich mit Pixelsmash potenziell jede Anwendung zum Absturz bringen lassen, die FFmpeg nutzt. Dazu zählen gängige Videoplayer, Medienserver und sogar Thumbnail-Generatoren für Dateiexplorer. Auch Chat-Plattformen wie Slack, Discord, Telegram und Whatsapp gelten als potenziell angreifbar, da diese FFmpeg serverseitig zum Dekodieren von Videovorschauen verwenden. Getestet haben die Forscher ihren Angriff an diesen Plattformen aber nicht.
Bei Jellyfin und Nextcloud war es den Sicherheitsforschern sogar möglich, serverseitig potenziell bösartigen Code zur Ausführung zu bringen. Ein Angreifer muss dafür lediglich eine speziell gestaltete und nur 50 KByte große Videodatei (AVI, MKV oder MOV) bereitstellen, die auf den jeweiligen Server geladen und dort verarbeitet wird. Wie das in der Praxis aussieht, zeigen die Forscher in zwei Videoclips in ihrem Blog.
Besonders gefährlich soll Pixelsmash auch in Verbindung mit Torrent-Downloads sein. Nach Angaben der Forscher kann ein Angreifer per Torrent-Tracker einfach eine als bekannter Film getarnte Videodatei bereitstellen. Wird diese beispielsweise von einem entsprechend konfigurierten Jellyfin-Server heruntergeladen, so führt der Server anschließend mit FFmpeg automatisch einen Metadaten-Scan aus.
Durch diesen Scan wird der Exploit bereits getriggert und es kommt zur Schadcodeausführung. Der Nutzer muss die Videodatei dafür nicht aktiv öffnen oder in seiner Medienbibliothek ansehen. Die JFrog-Forscher sprechen daher in dieser Konstellation auch von einem "Zero-Click-Exploit". Der Angriff auf Jellyfin-Server funktioniert allerdings nur, wenn die standardmäßig aktive Sicherheitsfunktion ASLR(öffnet im neuen Fenster) deaktiviert ist oder der Angriff mit einer anderen Lücke kombiniert wird, die es ermöglicht, ASLR zu umgehen.
Sehr große Angriffsfläche
Da FFmpeg enorm verbreitet ist und in zahlreichen medienverarbeitenden Softwareprojekten zum Einsatz kommt, ist die Angriffsfläche für Pixelsmash entsprechend groß. Nach Angaben der Forscher ist der anfällige Decoder "in praktisch jeder Anwendung eingebettet, die mit Videos arbeitet" und obendrein "in jedem Upstream-Build standardmäßig aktiviert".
Die JFrog-Forscher meldeten ihre Entdeckung nach eigenen Angaben am 13. Mai an die Entwickler von FFmpeg. Auch an die Maintainer einiger gefährdeter Softwareprojekte erfolgten einige Tage später entsprechende Meldungen. Ein Patch für FFmpeg steht mit Version 8.1.2 seit dem 17. Juni(öffnet im neuen Fenster) zur Verfügung. Entwickler, die FFmpeg in eigene Projekte eingebunden haben, sollten zügig auf die gepatchte Version aktualisieren. Sofern der MagicYUV-Decoder nicht benötigt wird, kann dieser bei älteren Versionen auch deaktiviert werden, um vor Pixelsmash-Attacken geschützt zu sein.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.