CVE-2026-70632 in FFmpeg
Riassunto
di VulDB • 07/08/2026
Le versioni di FFmpeg dalla 4.4 alla versione precedente la 9.0 contengono una vulnerabilità di scrittura fuori dai limiti (out-of-bounds) nello heap nel decoder nativo GoPro CineForm HD (CFHD), che consente ad attaccanti remoti di corrompere la memoria heap fornendo un file AVI manipolato durante l'analisi dello stream. La funzione cfhd_decode() non riesce a imporre l'invariante della larghezza logica dell'output non-Bayer nel percorso di ricostruzione del tipo-di-trasformazione-2, causando alla funzione horiz_filter_clip() di scrivere righe di campioni da 16 bit eccessivamente grandi ben oltre il buffer allocato per i frame di output, situazione che può essere sfruttata per l'esecuzione arbitraria di codice tramite la sovrascrittura di un puntatore a callback di pulizia attivo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.