Peneliti Keamanan Berbantuan AI Temukan PixelSmash: Kerentanan Kritis FFmpeg Memungkinkan RCE via Video yang Dirancang Khusus

Tim riset keamanan JFrog mengungkap PixelSmash, sebuah celah serius pada kerangka kerja multimedia FFmpeg yang telah berada dalam kode sumber selama enam belas tahun. Kerentanan ini, yang ditetapkan sebagai CVE-2026-8461 oleh CISA dengan skor CVSS 8,8 (keparahan tinggi), menyebabkan penulisan di luar batas pada stack di dekoder MagicYUV, yang dapat membuat aplikasi apa pun yang menggunakan FFmpeg menjadi crash. Penyerang hanya perlu mengirim file multimedia yang dibuat khusus (kontainer AVI, MKV, atau MOV) untuk mengeksekusi kode arbitrer atau menyebabkan penolakan layanan. Penggunaan codec MagicYUV yang luas memperbesar dampaknya, memengaruhi pemutar video desktop seperti Kodi dan mpv, generator thumbnail untuk manajer file Linux, pipeline transcoding cloud, dan server media yang dihosting sendiri. Para peneliti menunjukkan eksploitasi penuh pada dua target: server media Jellyfin (melalui pemindaian pustaka otomatis) dan instance Nextcloud (melalui penyedia pratinjau video), keduanya dengan mengunggah file AVI berukuran 50 KB. Tidak diperlukan autentikasi, hak istimewa khusus, atau akses sebelumnya, menjadikannya bagian dari permukaan serangan default untuk aplikasi pemrosesan media. Kerentanan ini memengaruhi sistem dengan dekoder MagicYUV yang diaktifkan, yang merupakan default di FFmpeg versi sebelum 9.0 di berbagai distribusi umum. Mitigasi mencakup peningkatan versi, membangun ulang FFmpeg tanpa dekoder tersebut, atau menerapkan tambalan singkat. Insiden ini menyoroti rapuhnya rantai pasokan dan meningkatnya kekhawatiran tentang alternatif yang aman memori.