Ffmpeg

Uma nova vulnerabilidade no FFmpeg, chamada ‘PixelSmash’, foi identificada e pode ser explorada para execução remota de código (RCE) em servidores Jellyfin, além de provocar condições de negação de serviço (DoS) em aplicações como Kodi, Emby, Nextcloud, PhotoPrism e OBS Studio. A falha, rastreada como CVE-2026-8461, é um erro de escrita fora dos limites da memória (heap out-of-bounds) no decodificador MagicYUV, recebendo uma pontuação de severidade alta, 8.8. A exploração é possível através de arquivos de vídeo maliciosos nos formatos AVI, MKV ou MOV. A vulnerabilidade se origina de inconsistências no processamento de ‘slices’ de vídeo, que podem ser ativadas ao abrir arquivos ou gerar miniaturas. A pesquisa da JFrog demonstrou que a exploração pode ocorrer em Jellyfin e Nextcloud, especialmente quando a proteção ASLR (Address Space Layout Randomization) está desativada. Embora a Plex tenha mitigado o risco com uma versão personalizada do FFmpeg, outras aplicações populares ainda estão vulneráveis. O FFmpeg lançou uma correção na versão 8.1.2, e Jellyfin também atualizou sua versão do FFmpeg. A vulnerabilidade apresenta um grande vetor de ataque, pois o decodificador MagicYUV é utilizado em muitos projetos que confiam no FFmpeg para lidar com entradas não confiáveis.

Recentemente, uma startup de segurança revelou 21 vulnerabilidades desconhecidas no FFmpeg, uma biblioteca de mídia amplamente utilizada, todas descobertas por um agente de IA autônomo. Essas falhas, que incluem estouros de pilha e heap, estavam latentes por até 23 anos. Em paralelo, o Google lançou o Chrome 149, corrigindo um recorde de 429 bugs de segurança, sendo 100 deles de alta severidade. O bug mais crítico, CVE-2026-10881, permite que uma página maliciosa escape da sandbox e execute código no host, resultando em um pagamento de $97.000 ao pesquisador que o descobriu. A pressão para encontrar e corrigir vulnerabilidades aumentou com o uso de IA, que está gerando um volume maior de relatórios. O Google reformulou seu programa de recompensas para lidar com essa avalanche de descobertas, exigindo provas mais concisas. Para mitigar riscos, é crucial que os usuários do FFmpeg atualizem suas versões assim que os patches estiverem disponíveis, especialmente aqueles que lidam com fluxos de mídia não confiáveis. Para o Chrome, a atualização para a versão 149 é essencial para garantir a segurança do navegador.