21 neue 0-Day-Schwachstellen in FFmpeg ermöglichen Remote-Code-Execution-Angriffe

Diese Lücke kann bereits mit einem einzigen Netzwerkpaket der Größe von 183 Bytes ausgenutzt werden. FFmpeg läuft im Hintergrund zahlreicher sicherheitskritischer Systeme, darunter Webbrowser, Streaming-Plattformen, Überwachungsanlagen und Cloud-Infrastrukturen.

Die Bibliothek besteht aus etwa 1,5 Millionen Zeilen optimierten C-Code und verarbeitet hunderte komplexe Medienformate. Seit über zwei Jahrzehnten wird sie durch Fuzzing-Tests und manuelle Audits abgesichert. Das Sicherheitsunternehmen Depthfirst setzte einen spezialisierten autonomen Agenten ein, um FFmpeg zu scannen.

Dieser Ansatz kostete das Unternehmen rund 1.000 US-Dollar, was etwa 10 Prozent des Betrags entspricht, den Anthropic für den Einsatz seines Modells Mythos ausgegeben hatte. Depthfirst hatte zuvor auf Basis üllungen durch Googles Team Big Sleep und weitere Identifizierungen durch Anthropies Modell Mythos die Suche intensiviert.

Technik und Auswirkungen

Der Depthfirst-Agent unterscheidet sich gründliche Bedrohungsmodellierung. Er kartiert Eingabeschnittstellen, die Angreifern unterliegen, verfolgt den Datenfluss durch relevante Komponenten und prüft, ob verwundbare Pfade tatsächlich erreichbar sind.

Um die Schwachstellen zu bestätigen und Fehlalarme auszuschließen, generiert der Agent reproduzierbare Proof-of-Concept (PoC)-Eingaben. Der zugehörige PoC-Code wurde (Leo) Lin öffentlicht. Die entdeckten Schwachstellen betreffen unter anderem den TS-Demuxer, den VP9-Decoder, RTP-Depacketisierer, den RTSP-Server, den RTMP-Client sowie weitere Module.

Acht der Funde wurden offizielle CVE-Nummern zugewiesen: * CVE-2026-39210: Heap-Buffer-Overflow im TS-Demuxer (seit 2010 bekannt). * CVE-2026-39211: Integer-Overflow in swscale (seit 2010 bekannt). * CVE-2026-39212: Stack-Overflow in ffmpeg_opt.c (Regression aus Juli 2025). * CVE-2026-39213: Heap-Buffer-Overflow in yuv4mpegenc (seit 2023 bekannt). * CVE-2026-39214: Stack-Buffer-Overflow in der SDT-Implementierung (eingeführt 2003, latent für 23 Jahre). * CVE-2026-39215: Heap-Buffer-Overflow in update_mb_info() (eingeführt 2012). * CVE-2026-39216: Heap-Buffer-Overflow in img2enc.c (eingeführt 2012). * CVE-2026-39217: Heap-Buffer-Overflow im VP9-Decoder (Regression aus März 2025). * CVE-2026-39218: Heap-Buffer-Overflow im DASH-Demuxer (eingeführt 2017).

Sicherheitslage und Risiko

Zusätzlich wurden weitere nicht offiziell nummerierte Befunde identifiziert, darunter Fehler im RTP-AV1-Depacketizer (Referenz DFVULN-127), im AVI-Demuxer, im CAF-Demuxer, im RTSP-SDP-Parser, im RTMP-Client sowie im AVIF-Overlay-Pfad. Alle diese zusätzlichen Schwachstellen waren über einen Zeitraum 15 Jahren latent.

Das schwerwiegendste der entdeckten Probleme ist ein Heap-Buffer-Overflow im AV1-RTP-Depacketizer (libavformat/rtpdec_av1.c), der unter der internen Referenz DFVULN-127 geführt wird. Die Lücke entsteht bei der Verarbeitung spezieller Marker für Temporal Delimiter (TD) OBUs, die Videoframes trennen.

Wenn ein TD (Tagged Data) auftritt, wird der Schreibzeiger (pktpos) um die vom Angreifer deklarierte obu_size vorverlegt, ohne dass der entsprechende Speicher zugewiesen oder der Eingabezeiger (buf_ptr) angepasst wird.

Dies führt zu zwei sich verstärkenden

Dies führt zu zwei sich verstärkenden Problemen: Der Schreibzeiger wird korrupt, und in der nächsten Iteration werden die eigenen Bytes des TD als frisches OBU (Object-Based Unit) mit vom Angreifer kontrollierten Inhalten neu analysiert.

Die Korruption betrifft direkt eine AVBuffer-Struktur, die unmittelbar nach dem Datenpuffer durch den posix_memalign-basierten Allocator Offset +24 dieser Struktur befindet sich ein freigegebener Funktionszeiger, der exaktes Ziel des Überlaufs ist.

Wird das Paket anschließend neu zugewiesen, dekrementiert FFmpeg die Referenzzahl des Puffers auf null und ruft den nun korrupten Freigabezeiger auf. Dadurch erhält der Angreifer die vollständige Kontrolle über den Instruktionszeiger.

Technischer Hintergrund

Ein funktionierender Proof-of-Concept bestätigt, dass ein einzelnes 183-Byte-RTP-Paket, das über RTSP übermittelt wird, ausreicht, um die Ausführung umzuleiten. Dies erfordert keine Authentifizierung, keine Benutzerinteraktion und keine ungewöhnlichen Flags. Jedes System, das den Befehl „ffmpeg -i rtsp://attacker/stream" ausführt, ist gefährdet.

Dazu gehören Medien-Aufnahmerohrleitungen, Überwachungs- und CCTV-Systeme sowie Cloud-Transcodierungs-Dienste, die entfernte AV1-over-RTP-Quellen verarbeiten.

Administratoren, die FFmpeg in netzwerkseitigen Bereitstellungen einsetzen, sollten Patches unverzüglich anwenden und alle Rohrleitungen prüfen, die un vertrauenswürdige RTSP- oder RTP-Ströme verarbeiten.

Einordnung fuer Autofahrer

SvyTech-Einordnung Die Entdeckung unterstreicht die Bedeutung automatisierter Sicherheitsagenten für die Identifikation ücken in komplexen Open-Source-Projekten.

Der Fall zeigt, dass selbst lang etablierte Bibliotheken wie FFmpeg, die über zwei Jahrzehnte hinweg gepflegt werden, latente Schwachstellen enthalten können, die erst durch spezialisierte, autonome Scans sichtbar werden.

Die Kostenersparnis im Vergleich zu manuellen oder teureren KI-Modellen deutet auf eine effiziente neue Methode der Sicherheitsprüfung hin. Was Leser daraus mitnehmen Administratoren und Sicherheitsteams sollten umgehend prüfen, ob ihre Infrastruktur FFmpeg in netzwerkexponierten Umgebungen, insbesondere bei der Verarbeitung ömen, einsetzt.

Die spezifische Lücke DFVULN-127 ermöglicht eine Remote-Code-Execution ohne Authentifizierung, was ein kritisches Risiko für Überwachungssysteme und Cloud-Dienste darstellt. Es wird dringend empfohlen, die neuesten Patches und den Zugriff auf potenziell gefährdete Schnittstellen zu beschränken.