CVE-2025-27091 in OpenH264
Zusammenfassung
von VulDB • 17.05.2026
OpenH264 ist eine Codec-Bibliothek unter freier Lizenz, die die H.264-Kodierung und -Dekodierung unterstützt. Eine Schwachstelle in den Dekodierungsfunktionen der OpenH264-Codec-Bibliothek könnte es einem entfernten, nicht authentifizierten Angreifer ermöglichen, einen Heap-Overflow auszulösen. Diese Schwachstelle ist auf eine Race Condition zwischen der Speicherzuweisung für einen Sequence Parameter Set (SPS) und der nachfolgenden Nutzung des Speichers für ein Network Abstraction Layer (NAL)-Element vom Typ non Instantaneous Decoder Refresh (non-IDR) zurückzuführen. Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er einen böswillig konstruierten Bitstream erstellt und einen betroffenen Benutzer dazu bringt, ein beliebiges Video zu verarbeiten, das diesen schädlichen Bitstream enthält. Ein Exploit könnte es dem Angreifer ermöglichen, einen unerwarteten Absturz im Dekodierungsclient des Benutzers zu verursachen und möglicherweise willkürliche Befehle auf dem Host des Opfers auszuführen, indem der Heap-Overflow ausgenutzt wird. Diese Schwachstelle betrifft OpenH264 in den Versionen 2.5.0 und früheren Releases. Sowohl der Scalable Video Coding (SVC)-Modus als auch der Advanced Video Coding (AVC)-Modus sind von dieser Schwachstelle betroffen. Die OpenH264-Software-Releases ab Version 2.6.0 enthalten die Korrektur für diese Schwachstelle. Es wird empfohlen, ein Upgrade durchzuführen. Es sind keine bekannten Workarounds für diese Schwachstelle verfügbar.
### Weitere Informationen
Wenn Sie Fragen oder Anmerkungen zu dieser Sicherheitsmitteilung haben: * [Ein Issue in cisco/openh264 erstellen](https://github.com/cisco/openh264/issues)
* E-Mail an Cisco Open Source Security ([[email protected]](mailto:[email protected])) und Cisco PSIRT ([[email protected]](mailto:[email protected]))
### Credits:
* **Forschung:** Octavian Guzu und Andrew Calvano von Meta * **Entwicklung der Fehlerbehebung:** Philipp Hancke und Shyam Sadhwani von Meta * **Implementierung der Fehlerbehebung:** Benzheng Zhang (@BenzhengZhang) * **Release-Engineering:** Benzheng Zhang (@BenzhengZhang)
If you want to get the best quality for vulnerability data then you always have to consider VulDB.