Các nhà nghiên cứu bảo mật hỗ trợ AI phát hiện PixelSmash: Lỗ hổng nghiêm trọng trong FFmpeg cho phép thực thi mã từ xa qua video được chế tạo

Nhóm nghiên cứu bảo mật của JFrog đã tiết lộ PixelSmash, một lỗ hổng nghiêm trọng trong khung đa phương tiện FFmpeg tồn tại trong mã nguồn suốt mười sáu năm. Lỗ hổng này, được CISA gán mã CVE-2026-8461 với điểm CVSS là 8.8 (mức độ nghiêm trọng cao), dẫn đến ghi đè vùng nhớ ngoài ranh giới trong bộ giải mã MagicYUV, có thể làm sập bất kỳ ứng dụng nào sử dụng FFmpeg. Kẻ tấn công chỉ cần gửi một tệp đa phương tiện được chế tác đặc biệt (định dạng AVI, MKV hoặc MOV) để thực thi mã tùy ý hoặc gây ra từ chối dịch vụ. Việc sử dụng rộng rãi codec MagicYUV làm tăng mức độ ảnh hưởng, tác động đến các trình phát video trên máy tính để bàn như Kodi và mpv, trình tạo hình thu nhỏ của trình quản lý tệp Linux, đường ống chuyển mã đám mây và máy chủ phương tiện tự lưu trữ. Các nhà nghiên cứu đã chứng minh khai thác thành công trên hai mục tiêu: máy chủ phương tiện Jellyfin (thông qua quét thư viện tự động) và phiên bản Nextcloud (thông qua nhà cung cấp xem trước video), cả hai đều bằng cách tải lên tệp AVI 50 KB. Không cần xác thực, đặc quyền đặc biệt hoặc quyền truy cập trước, khiến điều này trở thành một phần của bề mặt tấn công mặc định cho các ứng dụng xử lý phương tiện. Lỗ hổng ảnh hưởng đến các hệ thống có bộ giải mã MagicYUV được kích hoạt, mặc định trong các phiên bản FFmpeg trước 9.0 trên các bản phân phối phổ biến. Giải pháp giảm thiểu bao gồm nâng cấp, biên dịch lại FFmpeg mà không có bộ giải mã hoặc áp dụng bản vá ngắn. Sự cố này nêu bật tính mong manh của chuỗi cung ứng và mối lo ngại mới về các giải pháp thay thế an toàn bộ nhớ.