FFmpeg គឺជាកម្មវិធីដំណើរការវីដេអូដែលមានគេប្រើខ្លាំងបំផុតលើពិភពលោក បានរកឃើញកំហុសធំមួយ (CVE-2026-8461) ដែលអាចអនុញ្ញាតឱ្យអ្នកវាយប្រហារដំណើរការកូដផ្ទាល់ខ្លួនបាន។
ចំណុចសំខាន់ៗ:
- កំហុសនេះមានឈ្មោះថា “PixelSmash” ដែលរកឃើញដោយអ្នកស្រាវជ្រាវពី JFrog
- ពិន្ទុភាពធ្ងន់ធ្ងរ: 8.8/10 (ខ្ពស់ណាស់)
- ប៉ះពាល់ដល់កូដ MagicYUV decoder ដែលប្រើក្នុងការកែសម្រួលវីដេអូ
- អាចត្រូវបានទទួលឆ្លង តាមរយៈការផ្ទុកឬបង្កើត thumbnails វីដេអូ ដោយមិនចាំបាច់បើកវានោះទេ
របៀបដែលកំហុសនេះដំណើរការ:
MagicYUV decoder បំបែកវីដេអូជាជួរផ្ដេក។ នៅពេលកម្ពស់ជួរមិនមែនជាចំនួនគូ (odd number) កូដមានការរំខានក្នុងការគណនា — វារំលីងចុះនៅពេលទទួលយក memory និងរំលីងឡើងនៅពេលសរសេរទិន្នន័យ។ ប៉ុន្តែជាមួយនឹងការគណនាមិនត្រូវគ្នានេះ វានឹងសរសេរទិន្នន័យលើស memory buffer (ឧ. 640 bytes ចំពោះវីដេអូទទឹង 1280px)។ អ្នកវាយប្រហារអាចប្រើការលើសនេះដើម្បីគ្រប់គ្រង memory និងជំនួស function pointers ដើម្បីដំណើរការកូដរបស់ខ្លួន។
ឧបករណ៍ដែលត្រូវបានប៉ះពាល់:
- VLC, Kodi, mpv (Desktop players)
- Jellyfin, Emby, Nextcloud, Immich (Media servers)
- Synology, QNAP NAS
- ទូរទស្សន៍វៃ និងឧបករណ៍ IoT ផ្សេងៗ
ការជួសជុល:
FFmpeg បានចេញម៉ោង 8.1.2 ជាមួយនឹង patch ហើយអ្នកប្រើគួរធ្វើការ update ឥឡូវនេះ។
