USN-8915-1: otto falle in FFmpeg, una con rischio di esecuzione codice

Ubuntu ha pubblicato il 12 ottobre 2026 l'avviso USN-8915-1, che corregge otto vulnerabilità nel pacchetto ffmpeg su tutte le release LTS ancora supportate: 26.04, 24.04, 22.04, 20.04, 18.04 e 16.04. Riguarda chi usa server per transcoding, streaming o elaborazione video via riga di comando, anche dietro pannelli di gestione media o pipeline CI che processano file caricati dagli utenti.

La falla più seria è CVE-2026-30754, con CVSS 3.1 pari a 8.8. Si tratta di una vulnerabilità di corruzione della memoria che esiste in FFmpeg prima della versione 8.1, nel processo di encoding RTP. Nel dettaglio, nella funzione nal_send in libavformat/rtpenc_h264_hevc.c, un parametro size negativo (-3) viene passato a memcpy quando si trasmettono stream H.264/HEVC via RTP usando un file di input craftato; il problema è stato individuato con AddressSanitizer. Secondo l'avviso Ubuntu, la vulnerabilità colpisce qualsiasi workflow che trasmette media controllati da un attaccante attraverso il muxer RTP di FFmpeg, incluse pipeline di transcoding e media server. Il fix upstream è arrivato con la versione 8.1 di FFmpeg.

Le altre sette CVE coperte dall'avviso sono per lo più problemi di denial of service legati a gestione scorretta di operazioni aritmetiche o di memoria (CVE-2026-38344, CVE-2026-38346, CVE-2026-38347, CVE-2026-38348, CVE-2026-38349, CVE-2026-38350), più un leak di informazioni sensibili circoscritto a Ubuntu 26.04 LTS (CVE-2026-75147). La distribuzione delle falle non è uniforme: alcune toccano solo le versioni più vecchie, dalla 16.04 alla 24.04, altre solo la 26.04.

Chi deve agire e come

Per 26.04 LTS il pacchetto corretto è ffmpeg 7:8.0.1-3ubuntu2+esm5. Per le altre release le versioni variano (7:6.1.1-3ubuntu5+esm15 su 24.04, 7:4.4.2-0ubuntu0.22.04.1+esm17 su 22.04, a scendere fino alla 16.04). Un sudo apt update && sudo apt upgrade aggiorna ffmpeg e le librerie collegate (libavcodec, libavfilter, libavformat nelle rispettive varianti).

Un punto da non trascurare: per tutte le release da 16.04 a 24.04 LTS il fix è disponibile solo tramite Ubuntu Pro via ESM Apps, essendo pacchetti ormai fuori dal supporto standard. Chi gestisce server su quelle versioni senza abbonamento Pro resta esposto finché non passa a una release ancora in supporto standard o attiva la copertura ESM.