AI支援のセキュリティ研究者がPixelSmashを発見：FFmpegの重大な脆弱性により、巧妙に細工された動画でリモートコード実行が可能に

JFrogのセキュリティ研究チームは、マルチメディアフレームワークFFmpegに16年間存在していた深刻な脆弱性「PixelSmash」を公開しました。この脆弱性には、CISAによってCVE-2026-8461が割り当てられ、CVSSスコアは8.8（深刻度：高）です。これはMagicYUVデコーダにおけるスタックベースの領域外書き込みを引き起こし、FFmpegを使用するあらゆるアプリケーションをクラッシュさせる可能性があります。攻撃者は、特別に細工されたマルチメディアファイル（AVI、MKV、またはMOVコンテナ）を送信するだけで、任意のコードを実行したり、サービス拒否を引き起こしたりすることができます。MagicYUVコーデックの広範な使用により影響は増幅され、Kodiやmpvなどのデスクトップビデオプレーヤー、Linuxファイルマネージャのサムネイル生成機能、クラウドのトランスコーディングパイプライン、セルフホスト型メディアサーバーなどに影響を及ぼします。研究者らは、2つのターゲット（JellyfinメディアサーバーとNextcloudインスタンス）に対する完全な悪用を実証しました。前者はライブラリの自動スキャンを介し、後者はビデオプレビュープロバイダを介しており、いずれも50キロバイトのAVIファイルをアップロードするだけで実現しました。認証、特別な権限、事前のアクセスは不要であり、メディア処理アプリケーションのデフォルトの攻撃対象領域に含まれます。この脆弱性は、一般的なディストリビューションにおいて、FFmpegバージョン9.0より前のデフォルトで有効になっているMagicYUVデコーダが有効なシステムに影響します。対策としては、アップグレード、デコーダなしでのFFmpegの再ビルド、または短いパッチの適用が含まれます。このインシデントは、サプライチェーンの脆弱性と、メモリ安全な代替手段に対する新たな懸念を浮き彫りにしています。