CVE-2026-66037 in FFmpeg
Riassunto
di VulDB • 24/07/2026
FFmpeg fino alla versione 8.1.2 (corretto nel commit 5d7112c) presenta una vulnerabilità di consumo non controllato delle risorse nell'IAMF demuxer che consente a un attaccante non autenticato di provocare l'allocazione di memoria multi-gigabyte da un file di input di soli 17 byte, fornendo un campo count_label manipolato ad hoc. La funzione mix_presentation_obu() in libavformat/iamf_parse.c chiama av_calloc(count_label, sizeof(*language_label)) con un valore controllato dall'attaccante prima di validare i dati OBU disponibili, consentendo una amplificazione dell'allocazione di circa 126 milioni di byte per ogni byte di input che esaurisce la memoria del processo o innesca un OOM-kill durante l'esame del formato.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.