एआई-सहायता प्राप्त सुरक्षा शोधकर्ताओं ने PixelSmash का पता लगाया: FFmpeg में महत्वपूर्ण भेद्यता, विशेष रूप से तैयार किए गए वीडियो से RCE संभव
JFrog
JFrog सुरक्षा शोधकर्ताओं ने PixelSmash का खुलासा किया है, जो FFmpeg मल्टीमीडिया फ्रेमवर्क में 16 वर्षों से मौजूद एक महत्वपूर्ण भेद्यता है। यह विशेष रूप से तैयार किए गए मीडिया फ़ाइलों के माध्यम से रिमोट कोड निष्पादन (RCE) और डिनायल-ऑफ-सर्विस (DoS) हमलों की अनुमति देती है, जो Jellyfin, Nextcloud और डेस्कटॉप प्लेयर जैसे अनुप्रयोगों को प्रभावित करती है। इस भेद्यता को CVE-2026-8461 के रूप में ट्रैक किया गया है, जिसका CVSS स्कोर 8.8 है।
JFrog की सुरक्षा अनुसंधान टीम ने PixelSmash का खुलासा किया, जो FFmpeg मल्टीमीडिया फ्रेमवर्क में एक गंभीर दोष है जो सोलह वर्षों से कोडबेस में बना हुआ था। CISA द्वारा CVE-2026-8461 के रूप में निर्धारित यह भेद्यता, CVSS स्कोर 8.8 (उच्च गंभीरता) के साथ, MagicYUV डिकोडर में स्टैक आउट-ऑफ-बाउंड राइट की ओर ले जाती है, जो FFmpeg का उपयोग करने वाले किसी भी एप्लिकेशन को क्रैश कर सकती है। हमलावरों को केवल एक विशेष रूप से तैयार की गई मल्टीमीडिया फ़ाइल (AVI, MKV, या MOV कंटेनर) भेजने की आवश्यकता होती है ताकि वे मनमाना कोड निष्पादित कर सकें या सेवा से इनकार का कारण बन सकें। MagicYUV कोडेक का व्यापक उपयोग प्रभाव को बढ़ाता है, जिससे डेस्कटॉप वीडियो प्लेयर जैसे Kodi और mpv, Linux फ़ाइल प्रबंधक थंबनेल जनरेटर, क्लाउड ट्रांसकोडिंग पाइपलाइन, और स्व-होस्टेड मीडिया सर्वर प्रभावित होते हैं। शोधकर्ताओं ने दो लक्ष्यों पर पूर्ण शोषण का प्रदर्शन किया: Jellyfin मीडिया सर्वर (स्वचालित लाइब्रेरी स्कैनिंग के माध्यम से) और Nextcloud इंस्टेंस (वीडियो पूर्वावलोकन प्रदाता के माध्यम से), दोनों में 50 KB की AVI फ़ाइल अपलोड करके। कोई प्रमाणीकरण, विशेष विशेषाधिकार, या पूर्व पहुंच की आवश्यकता नहीं है, जिससे यह मीडिया प्रोसेसिंग अनुप्रयोगों के लिए डिफ़ॉल्ट आक्रमण सतह का हिस्सा बन जाता है। यह भेद्यता MagicYUV डिकोडर सक्षम वाले सिस्टम को प्रभावित करती है, जो सामान्य वितरणों में FFmpeg संस्करण 9.0 से पहले डिफ़ॉल्ट है। शमन में अपग्रेड करना, डिकोडर के बिना FFmpeg का पुनर्निर्माण करना, या एक छोटा पैच लागू करना शामिल है। यह घटना आपूर्ति श्रृंखला की नाजुकता और मेमोरी-सुरक्षित विकल्पों के बारे में नई चिंताओं को उजागर करती है।
स्रोत: InfoQ 中国 —
मूल