Уязвимост в OpenH264, позволяваща изпълнение на код при декодиране на видео.

В проекта OpenH264, развивающим отворената реализация на видео кодека H.264, е открита уязвимост (CVE-2025-27091), която потенциално може да доведе до изпълнение на код при декодиране на специално оформено видео. Проблемът се проявява в режимите SVC (Scalable Video Coding) и AVC (Advanced Video Coding) и е предизвикан от състояние на състезание, което води до запис на данни извън выделеното буферно пространство. Уязвимостта е отстранена в версия OpenH264 2.6.0. Можете да следите за появата на актуализации в дистрибуции на следните страници: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.

OpenH264 библиотеката е разработена и поддържана от Cisco и е забележителна с това, че позволява използването на технологии за видео компресия H.264 в трети продукти без ограничения и такси, тъй като Cisco е лицензополучател на организацията MPEG-LA. Правото за използване на патентованите технологии за видео компресия се предава само за пакетите, разпространявани от Cisco, например, изтеглени от сайта на Cisco. Тази особеност се използва в Firefox, openSUSE и Fedora за легално използване на кодека H.264 — дистрибутивите предлагат мета-пакет, а Firefox включва плъгин, който съдържа кода за изтегляне на готова версия на OpenH264 от сайта ciscobinary.openh264.org.

Източник: opennet.ru