В проекте FFmpeg исправлена серьёзная уязвимость – обновите Jellyfin, Kodi и OBS Studio

Недавно раскрытая уязвимость FFmpeg под названием PixelSmash при определенных условиях может использоваться для удаленного выполнения кода на серверах Jellyfin, а также вызывать отказ в обслуживании в таких приложениях, как Kodi, Emby, Nextcloud, PhotoPrism и OBS Studio.

Уязвимость с идентификатором CVE-2026-8461 представляет собой запись за пределами буфера в куче в декодере MagicYUV. Она получила высокую оценку серьезности — 8,8 балла — и может быть использована с помощью вредоносного видеофайла в формате AVI, MKV или MOV.

Любое приложение, использующее libavcodec, основную библиотеку FFmpeg для декодирования и кодирования видео, считается уязвимым.

Эксплуатация для удаленного выполнения кода (RCE) возможна только в при условиях, что защита AddressSpace Layout Randomization (ASLR) отключена или если уязвимость используется в цепочке с другой уязвимостью, позволяющей обойти эту защиту.

Причина и затронутое ПО

Исследователи из компании JFrog, специализирующейся на безопасности цепочек поставок ПО, сообщают, что PixelSmash связана с тем, как MagicYUV обрабатывает слайсы — независимые области видеокадра, которые могут декодироваться отдельно от остальной части изображения:

Уязвимость представляет собой переполнение буфера в куче на одну строку при обработке слайсов в декодере MagicYUV. Она вызвана несоответствием между тем, как распределитель кадров и декодер вычисляют высоту плоскостей цветности.

PixelSmash может сработать, когда пользователь открывает видеофайлы AVI, MKV или MOV, просматривает каталог, содержащий такой файл, например через генерацию миниатюр, или запускает любой автоматизированный процесс импорта медиаданных.

JFrog обнаружила, что несколько популярных медиаприложений, таких как Kodi, OBS Studio, PhotoPrism, а также генераторы миниатюр GNOME, KDE и XFCE, используют FFmpeg с включенным декодером MagicYUV, что делает их уязвимыми к атакам PixelSmash.

Slack, Discord, Telegram и WhatsApp также могут быть подвержены атакам PixelSmash, поскольку используют FFmpeg для генерации серверных предпросмотров видео, однако они не тестировались.

Ведущий исследователь JFrog Юваль Моравчик (Yuval Moravchick) продемонстрировал, что PixelSmash может использоваться для удаленного выполнения кода на экземплярах Jellyfin и Nextcloud с включенным предпросмотром фильмов.

JFrog поясняет:

Чтобы продемонстрировать реальное влияние, мы добились полного удаленного выполнения кода на медиасервере Jellyfin 10.11.9 — втором по популярности медиасервере с самостоятельным размещением после Plex — через его обычный конвейер сканирования медиатеки.

Путь атаки: загрузка специально созданного MagicYUV AVI в медиатеку > Jellyfin автоматически запускает ffprobe для извлечения метаданных > срабатывает запись за пределами буфера > AVBuffer.freeперехватывается и перенаправляется на system() > произвольная команда выполняется от имени пользователя службы jellyfin.

Моравчик отметил, что для RCE-эксплойта требуется отключенная технология ASLR — Address Space LayoutRandomization, рандомизация расположения адресного пространства. При этом сама по себе CVE-2026-8461 не обходит эту защиту памяти.

Теоретически отдельная ошибка раскрытия информации в декодере FlashSV в FFmpeg может быть использована в цепочке с PixelSmash для обхода ASLR.

Еще один сценарий атаки связан с загрузками через торрент и не требует взаимодействия с пользователем. Исследователи говорят, что злоумышленник может раздавать вредоносное видео, рассчитанное на пользователей Jellyfin, которые направляют загрузку в папку медиатеки приложения.

Исследователи отметили:

Монитор файловой системы Jellyfin в реальном времени обнаруживает новый файл и автоматически запускает сканирование метаданных через ffprobe. Эксплойт срабатывает во время сканирования — AVBuffer.free перехватывается и перенаправляется на system(), а команда злоумышленника для reverse shellвыполняется от имени пользователя службы jellyfin.

Даже когда RCE предотвращено или невозможно, уязвимости CVE-2026-8461 должно быть достаточно, чтобы надежно вызвать состояние отказа в обслуживании (DoS) на уязвимых целях.

Исследователи обнаружили, что Plex, чрезвычайно популярный медиасервер, использует кастомную сборку FFmpeg, в которой декодеры отключены и действует минимальный белый список, что фактически снижает риск PixelSmash.

Помимо выпуска FFmpeg версии 8.1.2, в которой исправлена эта уязвимость, Jellyfin также обновил встроенную версию FFmpeg, а PhotoPrism работает над добавлением черного списка форматов файлов, чтобы предотвратить потенциальную эксплуатацию.

Команда Nextcloud получила отчет через HackerOne, но отказалась устранять уязвимость, поскольку она существует за пределами Nextcloud.

JFrog обнаружила PixelSmash (CVE-2026-8461) и сообщила о ней команде безопасности FFmpeg 13 мая. Разработчик устранил проблему в версии 8.1.2, выпущенной 17 июня.

Исследователи предупреждают, что PixelSmash имеет огромную поверхность атаки, поскольку декодер MagicYUVприсутствует в сотнях проектов, которые «доверяют FFmpeg безопасную обработку недоверенных входных данных», превращая эту уязвимость в проблему цепочки поставок.