PixelSmash – 重大なFFmpeg脆弱性によりメディアファイルが武器に変わる
JFrogの研究者らが、人気のマルチメディアフレームワークFFmpegに存在する重大な脆弱性「PixelSmash」を発見しました。この脆弱性を悪用されると、攻撃者が特別に細工したメディアファイルを介してリモートコード実行（RCE）を引き起こす可能性があります。ユーザーは直ちに最新バージョンにアップデートすることが推奨されます。
背景メモ
- FFmpegは事実上の標準的なオープンソースのマルチメディア処理ライブラリで、動画・音声のエンコード/デコード/変換/ストリーミングなどに広く使われている。VLC、OBS Studio、ChromeやFirefoxといったブラウザ、多くの動画編集ソフトの裏側で動作している。
- 今回発見された脆弱性（PixelSmash）は、FFmpegが特定の画像フォーマットをデコードする際のメモリ解放後の使用（use-after-free）バグ。細工されたメディアファイルをユーザーに開かせることで、攻撃者が任意のコードを実行できる。
- 深刻度はCVSS 10.0（最高値）。リモートから悪用可能で、ユーザーの操作はファイルを開くだけで済むため、攻撃の現実性が高い。
- この手の脆弱性は「supply-chain vulnerability」の典型例。FFmpeg自体を直接使っているアプリだけでなく、それを間接的に利用している何千ものソフトウェアが影響を受ける。修正パッチは既にリリース済みで、各アプリ側のアップデート待ちとなる。