KI-gestützte Sicherheitsforscher entdecken PixelSmash: Kritische FFmpeg-Schwachstelle ermöglicht RCE durch präparierte Videos

Das Sicherheitsforschungsteam von JFrog hat PixelSmash aufgedeckt, eine schwerwiegende Schwachstelle im Multimedia-Framework FFmpeg, die sechzehn Jahre lang im Code verborgen war. Die Sicherheitslücke, die von der CISA als CVE-2026-8461 mit einem CVSS-Score von 8,8 (hoher Schweregrad) eingestuft wurde, führt zu einem Stack-Out-of-Bounds-Schreibzugriff im MagicYUV-Decoder, der jede Anwendung, die FFmpeg verwendet, zum Absturz bringen kann. Angreifer müssen lediglich eine speziell präparierte Multimediadatei (AVI-, MKV- oder MOV-Container) senden, um beliebigen Code auszuführen oder einen Denial-of-Service zu verursachen. Die weit verbreitete Nutzung des MagicYUV-Codecs verstärkt die Auswirkungen und betrifft Desktop-Videoplayer wie Kodi und mpv, Thumbnail-Generatoren von Linux-Dateimanagern, Cloud-Transkodierungspipelines und selbst gehostete Medienserver. Die Forscher demonstrierten eine vollständige Ausnutzung auf zwei Zielsystemen: dem Jellyfin-Mediaserver (über automatisches Bibliotheks-Scannen) und einer Nextcloud-Instanz (über den Video-Vorschau-Anbieter), jeweils durch das Hochladen einer 50 KB großen AVI-Datei. Es sind keine Authentifizierung, besondere Privilegien oder vorheriger Zugriff erforderlich, was diese Schwachstelle Teil der Standard-Angriffsfläche für Medienverarbeitungsanwendungen macht. Die Verwundbarkeit betrifft Systeme mit aktiviertem MagicYUV-Decoder, der in FFmpeg-Versionen vor 9.0 in gängigen Distributionen standardmäßig aktiviert ist. Zu den Abhilfemaßnahmen gehören ein Upgrade, ein Neuaufbau von FFmpeg ohne den Decoder oder die Anwendung eines kurzen Patches. Der Vorfall verdeutlicht die Fragilität der Lieferkette und erneuert die Bedenken hinsichtlich speichersicherer Alternativen.