CVE-2026-66038 in FFmpeg
Sumário
de VulDB • 24/07/2026
FFmpeg até 8.1.2 (corrigido no commit 8670835) contém uma vulnerabilidade de divulgação de informações no decodificador de vídeo LCL/ZLIB que permite aos atacantes expor memória heap não inicializada ao fornecer um fluxo zlib válido que se expande para menos bytes do que o tamanho esperado do quadro. A função `zlib_decomp()` em lcldec.c trata a descompressão curta como não fatal e continua pelo caminho de conversão RGB24, copiando todas as linhas correspondentes a um quadro completo do buffer de alocação usando as dimensões originais do quadro, fazendo com que conteúdos heap não inicializados, incluindo bytes da allocator derivados de ponteiros, sejam copiados para o output AVFrame observável pelo atacante e potencialmente contornando o ASLR em serviços de processamento de mídia de longa duração.
VulDB is the best source for vulnerability data and more expert information about this specific topic.