Se han identificado múltiples vulnerabilidades de alta gravedad en FFmpeg, el marco multimedia de código abierto ampliamente utilizado. Estos fallos afectan a los componentes de análisis, decodificación, filtrado y codificación de medios y pueden activarse cuando una aplicación procesa archivos maliciosos. Diversos problemas pueden provocar la corrupción de la memoria heap, lo que podría causar la caída de la aplicación afectada y, en ciertos escenarios, permitir acciones no autorizadas.

Se han identificado múltiples vulnerabilidades de alta gravedad en FFmpeg, el marco multimedia de código abierto ampliamente utilizado. Estos fallos afectan a los componentes de análisis, decodificación, filtrado y codificación de medios, y pueden activarse cuando una aplicación procesa archivos maliciosos.

Diversos problemas pueden provocar la corrupción de la memoria heap, lo que puede hacer que la aplicación afectada se bloquee y, en ciertos escenarios, podría explotarse para la ejecución de código arbitrario. Otras vulnerabilidades pueden facilitar ataques de denegación de servicio mediante la asignación excesiva de memoria o exponer memoria heap no inicializada.

Las vulnerabilidades han sido solventadas en los commits de FFmpeg, y deberías actualizar a una versión que incluya los parches o reconstruir FFmpeg utilizando las actualizaciones referenciadas.

Múltiples Vulnerabilidades de FFmpeg

CVE-2026-66036 tiene una puntuación CVSS de 7.7 y afecta al filtro de eliminación de ruido de vídeo vf_hqdn3d. Un atacante puede proporcionar un vídeo donde la resolución del fotograma aumente después del primer fotograma.

Cuando la reinicialización del grafo de filtros está desactivada mediante la opción -reinit_filter 0, FFmpeg asigna buffers de historial de líneas basados en el ancho del fotograma inicial. Los fotogramas más grandes posteriormente en el flujo pueden provocar que denoise_spatial() escriba fuera de estos buffers, corrompiendo la memoria heap.

CVE-2026-66041, también calificada con 7.7, afecta al filtro vf_quirc en las versiones de FFmpeg 7.0 a 8.1. Un archivo de subtítulos PGS/SUP manipulado puede contener una presentación posterior con dimensiones mayores que la presentación inicial, provocando que FFmpeg copie datos excesivos en un buffer de imagen en escala de grises subdimensionado utilizado por libquirc.

CVE-2026-66039 es un problema de desbordamiento de enteros y desbordamiento de buffer de heap en el decodificador de audio MACE6. Un archivo CAF malicioso puede explotar valores sobredimensionados para bytes_per_packet y frames_per_packet. Este desbordamiento puede conducir a una asignación subdimensionada seguida de una escritura fuera de límites.

CVE-2026-66040 afecta a los codificadores nativos PNG y APNG de FFmpeg. Una imagen PNG manipulada que contenga un fragmento de metadatos eXIf malicioso puede hacer que la serialización de la salida exceda el tamaño de asignación estimado, resultando en una corrupción determinista de la heap que puede permitir la ejecución de código.

CVE-2026-66037 es un fallo de consumo descontrolado de recursos en el demuxer IAMF, con una puntuación CVSS de 7.1. Un archivo de 171 bytes especialmente diseñado puede activar una asignación de memoria de varios gigabytes a través de un campo count_label controlado por el atacante, causando potencialmente una condición de falta de memoria durante la prueba del formato.

CVE-2026-66038, también con una puntuación de 7.1, afecta al decodificador de vídeo LCL/ZLIB. Un flujo zlib válido pero corto puede dejar partes de un fotograma de salida sin inicializar.

FFmpeg podría entonces copiar contenidos de la heap no inicializados en la salida observable, revelando potencialmente datos del asignador y debilitando las protecciones de Aleatorización del Diseño del Espacio de Direcciones (ASLR) en servicios de larga ejecución.

Deberías actualizar FFmpeg inmediatamente a una versión que incluya las correcciones oficiales. Las correcciones pertinentes incluyen los commits 5d7112c, 8670835, e7cbfd1, aafb5c6, b506faf y 4da9812.

Si no es factible aplicar el parche de inmediato, deberías restringir el procesamiento de medios no confiables, aislar las cargas de trabajo de transcodificación, aplicar límites de memoria y evitar el uso de configuraciones de filtros riesgosas, como -reinit_filter 0, con entradas de vídeo no confiables.

Fuentes:
https://cybersecuritynews.com/multiple-ffmpeg-vulnerabilities/