Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] FFmpeg opravuje vysoce závažnou zranitelnost
FFmpeg (multimediální framework používaný populárními aplikacemi, jako jsou VLC Media Player a OBS Studio) ve verzi 9.0 opravuje vysoce závažnou zranitelnost v dekodéru MagicYUV. Debian vydal opravu pro trixie ve verzi 7:7.1.5-0+deb13u1 a pro forky/sid ve verzi 7:8.1.2-2 [1]. Zda build obsahuje zranitelný dekodér, je možné ověřit příkazem "ffmpeg -decoders 2>/dev/null | grep magicyuv" (zranitelný build vypíše "VFS..D magicyuv"). Pokud aktualizace není ihned možná, lze zranitelný dekodér vypnout při buildu pomocí "--disable-decoder=magicyuv" [2].
Neautentizovanému vzdálenému útočníkovi je prostřednictvím speciálně vytvořeného mediálního souboru v důsledku zápisu za hranice alokované paměti na haldě v dekodéru MagicYUV umožněno způsobit DoS útok nebo dosáhnout spuštění libovolného kódu. Ke zneužití stačí, aby aplikace využívající FFmpeg daný soubor zpracovala, například při jeho otevření, nahrání na server nebo automatickém vygenerování náhledu [1][2].
Zranitelnost se nachází v produktu:
- FFmpeg; <9.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2026-8461 na cve.org, NVD
- CWE-787: Out-of-bounds Write na cwe.mitre.org
Zranitelnost byla veřejně oznámena 18. 6. 2026.
Odkazy
Za CESNET, z.s.p.o. Henrieta Paločková dne 25. 6. 2026.