p PatchFirst

CVE-2026-66041

CVE-2026-66041 · FFmpeg 7.0 - 8.1.2 Heap Out-of-Bounds Write via vf_quirc Filter

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

FFmpeg 7.0 through 8.1.2, fixed in commit 4da9812, contains a heap out-of-bounds write vulnerability in the vf_quirc filter that allows an attacker to corrupt heap memory by supplying a crafted PGS/SUP subtitle file with mismatched frame dimensions. Attackers can provide a subtitle file whose second presentation has larger dimensions than its first, causing av_image_copy_plane() to copy data exceeding the initial allocation size into the undersized libquirc grayscale image buffer, resulting in heap corruption and process crash with potential for code execution.

CVSS 7.7 · Высокий · EPSS 0,5% · Есть исправление

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • ffmpeg

    Версии
    • ≥ 7.0, ≤ 8.1.2: Затронуто (custom)
    • 4da9812e25894fb51d62a8875cfa8eb39b5e20f5: Не затронуто (git)

    Нет опубликованного исправления

  • ffmpeg Debian:13

    Версии
    • 7:7.1.1-1
    • 7:7.1.2-0+deb13u1
    • 7:7.1.2-1
    • 7:7.1.3-0+deb13u1
    • 7:7.1.3-1
    • 7:7.1.4-0+deb13u1
    • 7:7.1.5-0+deb13u1
    • 7:8.0-1
    • 7:8.0-2
    • 7:8.0.1-1
    • 7:8.0.1-2
    • 7:8.0.1-3
    • 7:8.1-1
    • 7:8.1-2
    • 7:8.1-3
    • 7:8.1.1-1
    • 7:8.1.1-2
    • 7:8.1.1-3
    • 7:8.1.1-4
    • 7:8.1.2-1
    • 7:8.1.2-2
    • 7:9.0-1
    • 7:9.0.1-1
    • 7:9.0.2-1
    • 7:9.0.2-2
    • 7:9.0.2-3
    • 7:9.0.2-4
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • ffmpeg Debian:14

    Версии
    • 7:7.1.1-1
    • 7:7.1.2-1
    • 7:7.1.3-1
    • 7:8.0-1
    • 7:8.0-2
    • 7:8.0.1-1
    • 7:8.0.1-2
    • 7:8.0.1-3
    • 7:8.1-1
    • 7:8.1-2
    • 7:8.1-3
    • 7:8.1.1-1
    • 7:8.1.1-2
    • 7:8.1.1-3
    • 7:8.1.1-4
    • 7:8.1.2-1
    • 7:8.1.2-2
    • 7:9.0-1
    • 7:9.0.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 7:9.0.2-1

    Обновитесь до 7:9.0.2-1

  • ffmpeg Ubuntu:26.10

    Версии
    • 7:8.0.1-3ubuntu2
    • 7:8.1-3ubuntu3
    • 7:8.1.2-2ubuntu2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • ffmpeg Ubuntu:Pro:26.04:LTS

    Версии
    • 7:7.1.1-1ubuntu4
    • 7:7.1.2-1ubuntu3
    • 7:7.1.2-1ubuntu4
    • 7:7.1.3-1ubuntu1
    • 7:8.0.1-2ubuntu1
    • 7:8.0.1-3ubuntu1
    • 7:8.0.1-3ubuntu2
    • 7:8.0.1-3ubuntu2+esm1
    • 7:8.0.1-3ubuntu2+esm3
    • 7:8.0.1-3ubuntu2+esm4
    • 7:8.0.1-3ubuntu2+esm5
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →