Im OpenH264-Projekt, das eine offene Implementierung des Video-Codecs H.264 entwickelt, wurde eine Sicherheitsanfälligkeit (CVE-2025-27091) entdeckt, die potenziell zur Ausführung von Code beim Dekodieren speziell gestalteter Videos führen kann. Das Problem tritt in den Modi SVC (Scalable Video Coding) und AVC (Advanced Video Coding) auf und wird durch einen Zustand des Wettlaufs verursacht, der zu einer Datenüberschreibung außerhalb des zugewiesenen Puffers führt. Die Sicherheitsanfälligkeit wurde in der Version OpenH264 2.6.0 behoben. Informationen über Updates in den Distributionen sind auf den folgenden Seiten zu finden: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.
Die OpenH264-Bibliothek wurde von Cisco entwickelt und wird von diesem Unternehmen unterstützt. Sie ermöglicht die Nutzung der H.264 Video-Kompressionstechnologie in Drittanbieterprodukten ohne Einschränkungen und Lizenzgebühren, da Cisco Lizenznehmer der MPEG-LA-Organisation ist. Das Recht zur Nutzung der patentierten Videokompressionstechnologien wird nur für Assemblierungen übertragen, die von Cisco verteilt werden, beispielsweise die, die von der Cisco-Website heruntergeladen werden. Diese Besonderheit wird in Firefox, openSUSE und Fedora genutzt, um den Codec H.264 legal verwenden zu können – die Distributionen bieten ein Metapaket an, und Firefox enthält ein Plugin, das den Code zum Herunterladen der fertigen OpenH264-Version von der Website ciscobinary.openh264.org beinhaltet.
Quelle: opennet.ru
