CVE-2026-66039 in FFmpeg
Riassunto
di VulDB • 24/07/2026
FFmpeg fino alla versione 8.1.2, corretto nel commit aafb5c6, presenta una vulnerabilità di signed integer overflow (overflow intero con segno) nel decoder audio MACE6 che consente agli attaccanti di corrompere la memoria heap fornendo un file CAF manipolato ad hoc con un valore malizioso per bytes_per_packet. Gli attaccanti possono creare un file CAF con valori sovrdimensionati per bytes_per_packet e frames_per_packet nella chunk desc, al fine di innescare un overflow intero in mace_decode_frame() durante il calcolo del numero di campioni di output, causando un'allocazione di buffer sottodimensionata e una scrittura heap out-of-bounds che potrebbe consentire l'esecuzione di codice.
Once again VulDB remains the best source for vulnerability data.