30秒で判断
- 対応すべき人: FFmpeg 8.1.2 以前を利用し、ユーザー投稿など信頼できないメディアを
hqdn3dフィルタを含む処理で変換しているサービスの運用者 - 対応不要な人: FFmpeg を使用していない / 8.1.2 より後の修正版へ更新済み / 信頼できるメディアのみを処理する構成
- 確認方法:
ffmpeg -versionでバージョンを確認する
概要
FFmpeg は、動画・音声を扱うマルチメディアフレームワークです。本脆弱性は、ノイズ除去フィルタ vf_hqdn3d におけるヒープ境界外書き込み（CWE-122）です。
フィルタグラフを利用した処理において、フレーム間で解像度（frame resolution）が増加するように細工された動画を与えると、ヒープメモリを破壊できます。ユーザーがアップロードしたメディアをサーバ側で FFmpeg 変換するようなサービスでは、攻撃者が細工ファイルを送り込むことで悪用され得ます。あわせて MACE6 音声デコーダ（CVE-2026-66039）や PNG/APNG エンコーダ（CVE-2026-66040）など、同時期に複数のヒープ破壊系脆弱性が公開されています。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 8.8 |
| 深刻度 | High |
| CWE | CWE-122（ヒープベースのバッファオーバーフロー） |
| 前提条件 | 細工されたメディアの処理・hqdn3d フィルタの使用 |
| 想定される影響 | ヒープメモリの破壊（クラッシュ／メモリ破壊） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| FFmpeg | FFmpeg project | <= 8.1.2 |
修正バージョンと回避策
- FFmpeg の修正コミット（commit 5d7112c）を含むリリースへアップデートしてください。
- 更新までの間、信頼できないメディアの処理では
hqdn3dフィルタの使用を避けることを検討してください。ユーザー投稿メディアを扱う場合は入力の検証・隔離実行を推奨します。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。