Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] FFmpeg opravuje 4 zranitelnosti
FFmpeg verzemi 4.4.7, 5.1.9, 6.1.5, 7.1.4, 8.0.2, 8.1.1 a 9.0 opravuje 2 zranitelnosti [1][2]. Kromě níže popsaných zranitelností byly zveřejněny 2 nízce závažné zranitelnosti (CVE-2026-52296, CVE-2026-52297), jejichž oprava se nachází pouze ve verzi 9.0 [3][4].
Neautentizovanému vzdálenému útočníkovi je použitím funkcionality konvolučního filtru při zpracování speciálně vytvořeného videa umožněno neoprávněně přistupovat k datům, případně provést DoS útok [1]. PoC a podrobnosti jsou dostupné na [5].
Zranitelnost se nachází v produktu:
- FFmpeg; >=4.4.0, <4.4.7; >=5.1.0, <5.1.9; >=6.1.0, <6.1.5; >7.1.0, <7.1.4; >=8.0.0, <8.0.2;
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N
Více informací:
- CVE-2026-90815 na cve.org, NVD
- CWE-125: Out-of-bounds Read na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 9. 2026.
Neautentizovanému vzdálenému útočníkovi je zvolením nevhodných hodnot argumentu pro nastavení délky video segmentu umožněno provést DoS útok [2]. PoC a podrobnosti jsou dostupné na [6].
Zranitelnost se nachází v produktu:
- FFmpeg; >=8.0.0, <8.0.1;
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X
Více informací:
- CVE-2026-90816 na cve.org, NVD
- CWE-404: Improper Resource Shutdown or Release na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 9. 2026.
Odkazy
- [1] https://www.cve.org/CVERecord?id=CVE-2026-90815
- [2] https://www.cve.org/CVERecord?id=CVE-2026-90816
- [3] https://www.cve.org/CVERecord?id=CVE-2026-52296
- [4] https://www.cve.org/CVERecord?id=CVE-2026-52297
- [5] https://code.ffmpeg.org/FFmpeg/FFmpeg/issues/21487
- [6] https://code.ffmpeg.org/FFmpeg/FFmpeg/issues/21492
Za CESNET, z.s.p.o. Martin Krajči dne 15. 9. 2026.