CVE-2026-66038 in FFmpeg
Zusammenfassung
von VulDB • 24.07.2026
FFmpeg bis Version 8.1.2 (behebt durch Commit 8670835) enthält eine Information Disclosure-Schwachstelle im LCL/ZLIB-Videodecoder, die es Angreifern ermöglicht, nicht initialisierten Heap-Speicher offenzulegen, indem sie einen gültigen zlib-Stream bereitstellen, der auf weniger Bytes als die erwartete Frame-Größe dekomprimiert wird. Die Funktion `zlib_decomp()` in lcldec.c behandelt eine kurze Dekompression als nicht kritisch und fährt mit dem RGB24-Konvertierungspfad fort, wobei ein voller Satz von Zeilen aus dem Allokationspuffer unter Verwendung der ursprünglichen Frame-Dimensionen kopiert wird. Dies führt dazu, dass nicht initialisierte Heap-Inhalte, einschließlich pointer-abgeleiteter Allocator-Bytes, in den vom Angreifer beobachtbaren AVFrame-Ausgabepuffer kopiert werden und potenziell ASLR (Address Space Layout Randomization) bei langlebigen Medienverarbeitungs-Diensten umgehen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.