Уязвимость PixelSmash в FFmpeg угрожает медиасерверам и приложениям для обработки видео

Крупная критическая уязвимость в FFmpeg, одном из самых распространённых решений для обработки видео, была недавно выявлена и названа PixelSmash. Эта ошибка в декодере MagicYUV позволяет злоумышленникам выполнять произвольный код удалённо или вызывать отказ в обслуживании в ряде популярных приложений и серверов. Уязвимость имеет идентификатор CVE-2026-8461 и оценку 8,8 по шкале CVSS, что соответствует высокому уровню опасности. Она затрагивает все приложения, использующие библиотеку libavcodec, входящую в состав FFmpeg, что делает проблему масштабной и актуальной для миллионов пользователей.

Что такое PixelSmash и как она работает

Уязвимость PixelSmash представляет собой переполнение буфера в куче (heap out-of-bounds write) в декодере MagicYUV, который используется для обработки видео в форматах AVI, MKV и MOV. MagicYUV — это формат сжатия видео, который часто используется для передачи несжатых или слабо сжатых видеоданных. Ошибка возникает из-за несоответствия между тем, как фрейм-аллокатор и декодер вычисляют высоту хроматической плоскости при обработке видеослайсов. Слайсы — это независимые части видеокадра, которые могут декодироваться отдельно от остального изображения. В результате несоответствия происходит запись за пределы выделенной памяти, что может привести к сбою приложения или выполнению произвольного кода.

Эксплуатация уязвимости возможна при открытии видеофайла с вредоносным содержимым, при генерации миниатюр для таких файлов или при автоматической обработке медиа в рабочих процессах. Исследователи из компании JFrog, обнаружившие уязвимость, отмечают, что для успешного удалённого выполнения кода необходимо отключить защиту ASLR (Address Space Layout Randomization) или использовать цепочку из нескольких уязвимостей. Однако даже без удалённого выполнения кода, PixelSmash может быть использована для атак типа «отказ в обслуживании» (DoS), что делает её опасной даже в тех сценариях, где RCE недостижим.

Какие приложения и серверы находятся под угрозой

Уязвимость PixelSmash затрагивает все приложения, использующие библиотеку libavcodec из состава FFmpeg, так как она является основой для декодирования и кодирования видео. Исследователи протестировали несколько популярных приложений и подтвердили их уязвимость. Среди них:

• Jellyfin — второй по популярности самохостинговый медиасервер после Plex. Эксплуатация уязвимости позволяет выполнять произвольный код на сервере через автоматическое сканирование медиабиблиотеки. Это особенно опасно, так как Jellyfin часто используется для организации личных коллекций фильмов и сериалов.
• Kodi — популярный медиаплеер с открытым исходным кодом, который используется на различных устройствах, включая Raspberry Pi, Android TV и настольные системы.
• OBS Studio — программа для записи и потоковой передачи видео, широко используемая стримерами и создателями контента.
• Emby — ещё один медиасервер, конкурирующий с Jellyfin и Plex.
• Nextcloud — платформа для организации личных облачных хранилищ, которая может быть уязвима при включённой функции предпросмотра видео.
• PhotoPrism — приложение для организации и управления фотографиями, которое также использует FFmpeg для обработки видео.
• GNOME, KDE и XFCE — популярные среды рабочего стола, которые используют FFmpeg для генерации миниатюр видеофайлов в файловых менеджерах.

Кроме того, исследователи предполагают, что уязвимыми могут быть и мессенджеры, такие как Slack, Discord, Telegram и WhatsApp, так как они используют FFmpeg для генерации предпросмотров видео на серверной стороне. Однако тестирование этих приложений не проводилось, поэтому степень их уязвимости остаётся неизвестной.

Как происходит эксплуатация уязвимости

Эксплуатация PixelSmash может происходить несколькими способами. Наиболее опасный сценарий — это удалённое выполнение кода на сервере Jellyfin. Исследователи из JFrog продемонстрировали, как атакующий может загрузить в медиабиблиотеку Jellyfin специально crafted видеофайл в формате AVI с использованием кодека MagicYUV. При автоматическом сканировании библиотеки Jellyfin запускает FFmpeg для обработки файла, что приводит к переполнению буфера и выполнению произвольного кода. Это позволяет злоумышленнику получить полный контроль над сервером, включая выполнение команд, кражу данных или установку вредоносного ПО.

Другой сценарий — эксплуатация уязвимости через генерацию миниатюр. Многие приложения автоматически создают миниатюры для видеофайлов при просмотре содержимого каталога. Если файл содержит вредоносный контент, это может привести к отказу в обслуживании или выполнению кода. Например, в файловых менеджерах GNOME, KDE и XFCE генерация миниатюр происходит автоматически, что делает пользователей уязвимыми даже при пассивном просмотре содержимого папок.

Также уязвимость может быть использована в автоматизированных рабочих процессах, таких как загрузка видео на стриминговые платформы или обработка медиа в облачных сервисах. Любой процесс, который использует FFmpeg для декодирования MagicYUV, может стать мишенью для атаки.

Последствия для пользователей и администраторов

Последствия эксплуатации уязвимости PixelSmash могут быть серьёзными. Для пользователей, использующих уязвимые приложения на персональных устройствах, атака может привести к краже данных, установке вредоносного ПО или получению контроля над устройством. Для серверов, таких как Jellyfin или Nextcloud, последствия могут быть ещё более разрушительными: компрометация сервера может привести к утечке личных данных, заражению других устройств в сети или использованию сервера в качестве стартовой площадки для дальнейших атак.

Особую опасность представляет тот факт, что эксплуатация уязвимости возможна без непосредственного взаимодействия с пользователем. Видеофайл может быть загружен в медиабиблиотеку Jellyfin без ведома администратора, а затем автоматически обработан, что приведёт к выполнению кода. Аналогично, генерация миниатюр в файловых менеджерах может происходить без активного участия пользователя, что делает атаку практически незаметной.

Для администраторов самохостинговых серверов и IT-специалистов критически важно как можно скорее установить обновления безопасности. Уязвимость уже исправлена в последних версиях FFmpeg, поэтому пользователям необходимо обновить библиотеку libavcodec и все приложения, использующие FFmpeg, до актуальных версий.

Как защититься от уязвимости PixelSmash

Первый и самый важный шаг — это обновление программного обеспечения. Разработчики FFmpeg выпустили патч, который исправляет уязвимость в декодере MagicYUV. Пользователям необходимо установить обновления для FFmpeg и всех приложений, использующих эту библиотеку. Администраторам серверов Jellyfin, Emby и Nextcloud следует как можно скорее обновить свои системы до последних версий.

Для пользователей, которые не могут оперативно обновить ПО, существуют временные меры защиты. Например, можно отключить автоматическую генерацию миниатюр в файловых менеджерах или отключить предпросмотр видео в Nextcloud. Однако такие меры не устраняют саму уязвимость, а лишь снижают риск эксплуатации.

Также рекомендуется использовать дополнительные меры защиты, такие как изоляция серверов в отдельных сетевых сегментах, ограничение доступа к медиабиблиотекам и мониторинг активности приложений. Для корпоративных пользователей может быть полезно внедрение систем обнаружения вторжений (IDS) и регулярное сканирование на наличие уязвимостей.

Что дальше: развитие ситуации и будущие риски

Уязвимость PixelSmash стала очередным напоминанием о том, как важно своевременно обновлять программное обеспечение, особенно в случае широко используемых библиотек, таких как FFmpeg. В ближайшие недели и месяцы можно ожидать, что разработчики других уязвимых приложений выпустят обновления, исправляющие проблему. Однако, учитывая масштабы распространения FFmpeg, не исключено, что в будущем будут обнаружены и другие уязвимости в этой библиотеке.

Исследователи из JFrog подчёркивают, что PixelSmash — это не единичный случай, а часть более широкой проблемы, связанной с обработкой мультимедийного контента. В последние годы было выявлено множество уязвимостей в популярных медиабиблиотеках, таких как libavcodec, libjpeg и libpng. Это связано с тем, что обработка мультимедийных данных — это сложная задача, которая требует высокой производительности и часто приводит к ошибкам в реализации.

Для разработчиков важно уделять больше внимания безопасности при создании и поддержке библиотек для обработки медиа. Это включает в себя использование современных методов защиты памяти, таких как ASLR, DEP и контроль целостности кода, а также регулярное проведение аудита безопасности. Пользователям же необходимо быть внимательными при работе с мультимедийным контентом и своевременно обновлять своё ПО.

Практический чек-лист для пользователей и администраторов

Чтобы минимизировать риски, связанные с уязвимостью PixelSmash, рекомендуется следовать этому чек-листу:

1. Обновите FFmpeg и зависимые приложения Проверьте, используют ли ваши приложения библиотеку libavcodec из состава FFmpeg. Обновите FFmpeg до последней версии, а затем обновите все приложения, которые зависят от этой библиотеки. Это касается не только медиасерверов, таких как Jellyfin или Emby, но и медиаплееров, файловых менеджеров и мессенджеров.

2. Проверьте настройки автоматической обработки видео Отключите автоматическую генерацию миниатюр и предпросмотра видео, если это возможно. В некоторых приложениях, таких как файловые менеджеры или Nextcloud, такие функции можно отключить в настройках. Это снизит риск эксплуатации уязвимости через автоматические процессы.

3. Изолируйте критически важные серверы Если вы используете уязвимые медиасерверы, такие как Jellyfin или Nextcloud, разместите их в отдельном сетевом сегменте и ограничьте доступ к ним только доверенным пользователям и устройствам. Это снизит риск удалённого выполнения кода и распространения атаки внутри сети.

4. Мониторинг и журналирование Включите журналирование активности приложений и серверов. Это поможет своевременно обнаружить подозрительную активность, такую как загрузка необычных видеофайлов или неожиданные сбои в работе приложений. Используйте системы мониторинга для автоматического оповещения о потенциальных атаках.

5. Регулярный аудит безопасности Проводите регулярные проверки безопасности ваших систем. Это включает в себя сканирование на наличие уязвимостей, обновление программного обеспечения и проверку конфигураций приложений. Особое внимание уделите приложениям, которые обрабатывают мультимедийный контент, так как они наиболее подвержены атакам.

6. Обучение пользователей Если вы являетесь администратором корпоративной сети или IT-специалистом, проведите обучение пользователей основам кибербезопасности. Объясните им, почему важно своевременно обновлять ПО и быть осторожными при работе с недоверенным контентом. Это поможет снизить риск эксплуатации уязвимостей, связанных с человеческим фактором.

Уязвимость PixelSmash — это очередное напоминание о том, что безопасность программного обеспечения зависит не только от разработчиков, но и от пользователей. Своевременное обновление, правильная конфигурация и осведомлённость о текущих угрозах — это ключевые меры, которые помогут защитить ваши системы от атак.