動画配信プラットフォームからクラウドのトランスコーディングパイプラインまで、あらゆる場面で使われているオープンソースのマルチメディアフレームワーク「FFmpeg」が、バージョン8.1.2以下の全バージョンに影響する深刻度「高」の脆弱性6件を修正しました。
2026年7月24日に公表されたこれらの脆弱性は、ヒープバッファオーバーフロー、整数オーバーフロー、リソース消費の制御不備、情報漏えいなど多岐にわたり、CVSSスコアは7.1から8.7の範囲となっています。
CVE-2026-66036(CVSS 7.7)は、ノイズ除去フィルターであるvf_hqdn3dに影響します。-reinit_filter 0によってフィルターグラフの再初期化が無効化されている状態で、フレーム間で解像度が上がるよう細工された動画を読み込ませると、denoise_spatial()がプレーンごとに確保されたサイズ不足のバッファを超えて書き込みを行い、ヒープメモリが破損します。
CVE-2026-66037(CVSS 7.1)は、IAMFデマルチプレクサーに存在するサービス拒否(DoS)の脆弱性です。iamf_parse.c内のmix_presentation_obu()関数は、利用可能なデータを検証する前に、攻撃者が制御可能なcount_labelの値を使ってav_calloc()を呼び出しています。
この不具合により、わずか17バイトのファイルで、入力1バイトあたり約1億2600万バイトの割り当てを引き起こすことが可能となり、メモリを枯渇させたり、OOM Killerによる強制終了に追い込んだりできてしまいます。
CVE-2026-66038(CVSS 7.1)は、LCL/ZLIBビデオデコーダーに影響します。展開後のバイト数が想定より少なくなるような正当なzlibストリームを与えると、zlib_decomp()はその不足分を致命的なエラーとして扱いません。
この不具合は、ポインタに由来するアロケータのバイト列を含む未初期化のヒープメモリを出力フレームに漏えいさせてしまうもので、長時間稼働するメディアサービスにおいてはASLR(アドレス空間配置のランダム化)を無効化する足がかりになりかねません。
今回の6件の中で最も深刻なCVE-2026-66039(CVSS 8.7)は、MACE6オーディオデコーダーにおける符号付き整数オーバーフローに関するものです。
CAFファイルのdescチャンク内にあるbytes_per_packetとframes_per_packetの値を悪意を持って細工すると、mace_decode_frame()内のサンプル数計算がオーバーフローを起こします。その結果、確保されるバッファのサイズが不足し、ヒープ領域外への書き込みが発生して、コード実行につながる恐れがあります。
CVE-2026-66040(CVSS 8.7)は、PNG/APNGエンコーダーを標的とするものです。同一の大きなペイロードを参照する重複IFDエントリを含むよう細工されたeXIfチャンクを与えると、正規化のためのシリアライズ処理が、add_exif_profile_size()で見積もられたバッファサイズを超えて肥大化してしまいます。
この不具合により、png_write_chunk()が数万バイト単位で領域外に書き込みを行うことが可能となり、決定論的なメモリ破損や任意コード実行につながる恐れがあります。
CVE-2026-66041(CVSS 7.7)は、vf_quircフィルター(バージョン7.0〜8.1.2)に影響します。プレゼンテーション間でフレームの寸法が一致しないよう細工されたPGS/SUP字幕ファイルを与えると、av_image_copy_plane()がlibquircのグレースケール用バッファ(サイズ不足)を超えて書き込みを行ってしまいます。
今回の6件の脆弱性はいずれも、認証を必要とせず、信頼できない特別に細工されたメディアファイル(動画・音声・字幕・画像のいずれか)を処理させるだけで悪用できるという共通の攻撃経路を持っています。
FFmpegはトランスコーディングサービス、CDN、SNSプラットフォーム、さらには(それをバンドルするブラウザやモバイルOSも含め)無数の下流アプリケーションを支える基盤的な存在であることを踏まえると、今回の不具合はサプライチェーン上のリスクとして無視できません。
特に懸念されるのは、CVSSスコア8.7と評価された2件(MACE6とPNG eXIf)です。これらはメモリ破損に加えて、コード実行に至る現実的な経路を併せ持っています。
これらの問題はすべて、各アドバイザリに記載されたパッチコミットを通じて、FFmpegのgit masterで修正済みです。自動化されたパイプラインでFFmpegを運用している組織、特にユーザーがアップロードしたメディアを受け入れている組織は、以下を優先的に対応すべきです。
ANY.RUNでSOCの調査における死角をなくし、脅威をより早期に封じ込めることで、対応コストと業務への影響を低減しましょう。
翻訳元: https://cyberpress.org/ffmpeg-patches-six-high-severity-flaws/
