PixelSmash – Critical FFmpeg Vulnerability
A critical vulnerability in the widely-used FFmpeg multimedia framework, dubbed PixelSmash, allows attackers to weaponize media files, potentially gaining remote code execution. The flaw exploits how FFmpeg processes crafted media, posing significant risks to applications and services relying on the library for media handling. Users are urged to update to the latest patched version immediately.
背景メモ
- **FFmpeg**は、動画・音声の変換やエンコードに広く使われるオープンソースのコマンドラインツール。VLC、Google Chrome、OBS Studioなど、多くのアプリケーションが内部的に利用している。
- **PixelSmash**は、FFmpegのH.264/AVCデコーダに存在した深刻な脆弱性（CVE番号未確定、CVSSスコアは未公表ながら「Critical」と評価）の通称。攻撃者が細工した動画ファイルをユーザーに再生させるだけで、ヒープ・バッファ・オーバーフローを誘発し、リモートでコード実行（RCE）が可能になる。
- 問題は、FFmpegが特定のH.264データを正しくサイズ検証せずメモリに書き込む点にあり、クラッシュだけでなく任意コード実行に悪用される恐れがある。
- **JFrog**のセキュリティ研究チームが発見し、ベンダーに報告。修正は既にFFmpegの最新安定版に含まれている。対象バージョンは特定のリリース以前の全ブランチ。
- 動画ファイルは一見無害に思われがちだが、メディアパーサーは複雑なバイナリ処理を行うため攻撃面が広く、この種の脆弱性は過去にもAppleやAndroidのメディアライブラリで報告されている。