Pubblicato il 2026-07-22 · Fonte: NVD NIST
La vulnerabilità CVE-2026-64831 colpisce le versioni 8.0 attraverso 8.1.2 di FFmpeg, permettendo agli attaccanti remoti di sovrascrivere gli indirizzi di ritorno e i frame dello stack adiacenti fornendo un flusso di bit HEVC/H.265 appositamente progettato. Ciò avviene a causa di un overflow di buffer nella decodifica hardware HEVC Vulkan. La vulnerabilità è classificata come CWE-121 e ha un punteggio CVSS di 8.8, considerata alta.
Un attaccante può sfruttare questa vulnerabilità inviando un flusso di bit HEVC/H.265 appositamente progettato che include un valore vps_num_hrd_parameters superiore a HEVC_MAX_SUB_LAYERS all'interno di qualsiasi formato di contenitore supportato. Ciò può portare a un overflow degli array allocati nello stack nella funzione vk_hevc_end_frame, potenzialmente consentendo l'esecuzione di codice arbitrario. I sistemi che utilizzano FFmpeg per la decodifica dei video sono a rischio.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, si consiglia di aggiornare FFmpeg alla versione più recente disponibile, che dovrebbe includere la correzione per CVE-2026-64831. Se l'aggiornamento non è immediatamente possibile, è importante limitare l'esposizione ai flussi di bit HEVC/H.265 non attendibili e implementare controlli di sicurezza per prevenire l'esecuzione di codice arbitrario. Inoltre, è fondamentale mantenere aggiornati tutti i software e le librerie correlate per ridurre il rischio di exploit.
La vulnerabilità CVE-2026-64831 è un overflow di buffer nel decoder HEVC di FFmpeg che potrebbe consentire l'esecuzione di codice arbitrario.
Le versioni 8.0 attraverso 8.1.2 di FFmpeg sono colpite da questa vulnerabilità.
Per proteggersi, è consigliabile aggiornare FFmpeg alla versione più recente disponibile e implementare misure di sicurezza per limitare l'esposizione a flussi di bit non attendibili.
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.