CVE-2026-66038 in FFmpeg
摘要
由 VulDB • 2026-07-24
FFmpeg 8.1.2（在提交版本 8670835 中修复）存在信息泄露漏洞，该漏洞位于 LCL/ZLIB 视频解码器中。攻击者通过提供一个膨胀后字节数少于预期帧大小的有效 zlib 流，可暴露未初始化的堆内存。lcldec.c 中的 `zlib_decomp()` 函数将短解压缩视为非致命错误，并继续执行 RGB24 转换路径；该路径使用原始帧尺寸从分配缓冲区复制完整帧的行数据，导致包含指针派生的分配器字节在内的未初始化堆内容被复制到攻击者可观察的 AVFrame 输出中，从而可能破坏长期运行的媒体处理服务中的 ASLR（地址空间布局随机化）机制。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.