Kritik açık: Yalnızca bir görüntü evrakıyla bilgisayarınız ele geçirilebilir

Dünyanın en yaygın medya sürece altyapılarından biri olan FFmpeg’de kritik bir güvenlik açığı tespit edildi. Bu açıktan yararlanılarak sadece video evrakları üzerinden sistemlerin ele geçirilebildiği belirtiliyor. Güvenlik araştırmacıları birtakım senaryolarda videonun açılmasına bile gerek kalmadan, sırf evrakın sistem tarafından taranmasının akın için kâfi olabileceği konusunda uyarıyor.

Tek bir görüntü belgesi yeterli olabiliyor

Güvenlik şirketi JFrog tarafından keşfedilen ve CVE-2026-8461 olarak takip edilen açık, FFmpeg’in MagicYUV isimli kayıpsız görüntü kodeği çözücüsünde bulunuyor. 10 üzerinden 8,8 CVSS puanı alan güvenlik açığı, saldırganların amaç sistemde ziyanlı kod çalıştırmasına ve aygıtın denetimini ele geçirmesine imkan sağlayabiliyor. Sorunun giderildiği FFmpeg 8.1.2 sürümü yayımlanmış durumda.

FFmpeg, görüntü ve ses belgelerinin işlenmesinde kullanılan en yaygın açık kaynaklı yazılımlardan biri. VLC benzeri medya oynatıcılarından medya sunucularına, bulut servislerinden akıllı televizyonlara kadar çok sayıda eser ve hizmet bu altyapıyı kullanıyor.

Bu sebeple açık sırf masaüstü kullanıcılarını etkilemiyor. Jellyfin, Emby, Nextcloud, Immich ve PhotoPrism üzere medya platformları, NAS aygıtları, akıllı televizyonlar ve çeşitli IoT eserleri de risk altında bulunuyor.

Araştırmacılar, saldırganın tek yapması gereken şeyin özel olarak hazırlanmış bir görüntü evrakını maksat sisteme ulaştırmak olduğunu belirtiyor. Belge sisteme yüklendiğinde yahut otomatik olarak tarandığında açık tetiklenebiliyor. Örneğin bir medya sunucusunun görüntü kütüphanesini taraması, bir bulut hizmetinin önizleme oluşturması ya da Linux belge yöneticisinin küçük fotoğraf üretmesi akın için kâfi olabiliyor.

Araştırmacılar bu açığa “PixelSmash” ismini verdi. Şirket, FFmpeg’in medya ekosisteminde son derece yaygın kullanılması sebebiyle açığın potansiyel tesirinin epeyce büyük olduğuna dikkat çekiyor.

Popüler uygulamalarda test edildi

JFrog tarafından gerçekleştirilen testlerde açığın çok sayıda yaygın uygulamada sistem çökmesine sebep olduğu doğrulandı. Bunlar arasında Kodi, mpv, OBS Studio, Jellyfin, Emby, Nextcloud, Immich, PhotoPrism ve ffmpegthumbnailer bulunuyor.

Araştırmacılar ayrıyeten Jellyfin 10.11.9 sürümünde uzaktan kod çalıştırmayı başardıklarını açıkladı. Misal halde bir Nextcloud kurulumunda da görüntü önizleme düzeneği üzerinden sistemin ele geçirilebildiği gösterildi.

Açığın teknik sebebi ne?

Sorunun kaynağında MagicYUV çözücüsündeki (decoder) bir bellek idaresi yanılgısı yer alıyor. Muhakkak şartlarda görüntü dataları işlenirken ayrılan belleğin dışına bilgi yazılabiliyor. Bu durum saldırganların bellekteki kritik alanları değiştirmesine ve sonuç olarak kendi kodlarını çalıştırmasına imkan tanıyor.

Araştırmacılar, örnek bir atak senaryosunda sistem üzerinde komut çalıştırmayı başardıklarını ve bunun aygıtın büsbütün ele geçirilmesi manasına geldiğini belirtiyor.

Kullanıcılar ne yapmalı?

FFmpeg geliştiricileri sorunu gideren 8.1.2 sürümünü yayımladı. Güvenlik araştırmacıları, FFmpeg kullanan uygulama ve sistemlerin mümkün olan en kısa müddette güncellenmesini öneriyor. MagicYUV takviyesine muhtaçlık duymayan geliştiriciler için ise ilgili decoderin devre dışı bırakılması süreksiz bir tedbir olarak gösteriliyor.

Kaynak : Donanimhaber