30秒で判断
- 対応すべき人: 信頼できない（ユーザーアップロード等の）メディアを FFmpeg / libavcodec で復号・変換しているサービスの運用者・開発者
- 対応不要な人: FFmpeg／libavcodec を利用していない／自前管理下の信頼できるメディアしか処理しない場合
- 確認コマンド:
ffmpeg -version（利用中のビルド・バージョンを確認）
概要
CVE-2026-58049 は、FFmpeg の RASC 動画デコーダ（libavcodec/rasc.c の decode_dlta）における境界チェックの不備です。行境界チェック（NEXT_LINE）より前に32ビット単位の読み書きを行い、DLTA領域の検証をバイト単位ではなくピクセル単位で行っているため、PAL8フレーム上のDLTAランが行の確保領域を数バイト超えてアクセスし得ます。
その結果、RASC FourCC を用いた細工されたメディアストリームを libavcodec で復号すると、ビットストリーム制御によるヒープ領域外書き込みと隣接領域の領域外読み取りが発生し、メモリ破壊につながります。ユーザーがアップロードした動画をサーバ側でトランスコードするような構成では、攻撃者が細工ファイルを送り込むことで影響を受け得ます。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 8.6（High） |
| 攻撃区分 | 細工したメディアファイルの復号（ローカル／リモート入力） |
| 想定影響 | メモリ破壊（領域外書き込み／読み取り） |
| CWE | CWE-787（領域外書き込み） |
影響を受けるソフトウェア
| 製品 | コンポーネント | 影響バージョン |
|---|---|---|
| FFmpeg | libavcodec（RASCデコーダ） | 修正コミット適用前のバージョン |
修正バージョンと回避策
- FFmpeg 本体の修正コミット（
libavcodec/rasc.c）が適用されたバージョンへアップデートしてください。ディストリビューション提供のパッケージを利用している場合は、各ベンダーのセキュリティ更新（例: Red Hat の RHSA）を適用してください。 - アップデートが難しい場合の回避策として、信頼できない入力に対してRASCデコーダを無効化する、または処理対象のコーデックをホワイトリストで制限することを検討してください。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。