CVE-2026-56211: Kritisk fejl i libaom AV1-bibliotek

CVE-2026-56211 er en sårbarhed i libaom — det officielle open source-bibliotek til at indkode og afkode AV1-video. AV1 er et moderne videoformat, der bruges i mange streamingtjenester og videoplatforme.

Fejlen opstår i en funktion kaldet SVC (Scalable Video Coding), som bruges til at lave video i flere kvalitetsniveauer på én gang. Biblioteket tjekker ikke godt nok, om de data det modtager holder sig inden for de tilladte grænser (såkaldt out-of-bounds write, CWE-787). Det betyder, at en angriber kan sende en særligt konstrueret videofil, der snyder programmet til at skrive data det forkerte sted i hukommelsen — og dermed overtage styringen af serveren.

Sårbarheden rammer primært virksomheder og tjenester der behandler videoer uploadet af brugere, og som bruger libaom-biblioteket med SVC-indkodning aktiveret. Det kan fx være:

• Platforme med brugergenereret videoindhold (fx intranet med videoupload, e-læringstjenester)
• Videokonference- eller streamingløsninger der bygger på AV1
• Medievirksomheder med automatiserede videoproceseringsservere
• SaaS-løsninger (cloud-software) der tilbyder videokonvertering eller -behandling

Bruger du ikke selv videobehandling med libaom, er du sandsynligvis ikke direkte ramt — men tjek dine leverandørers software.

Hvis en angriber udnytter fejlen, kan vedkommende opnå fuld kontrol over den serverproces der håndterer videoen. I praksis betyder det:

• Afvikling af vilkårlige kommandoer på serveren (Remote Code Execution)
• Datatyveri — angriberen kan tilgå filer og databaser serveren har adgang til
• Nedbrud af tjenesten — serveren kan crashe gentagne gange som del af angrebet
• Spredning i dit netværk — hvis serveren er forbundet til andre systemer, kan angriberen bevæge sig videre

Angriberen behøver ikke login eller særlige rettigheder — det kræver blot, at du accepterer en videofil fra dem.

Sårbarheden er vurderet til CVSS 7.1 (Alvorlig). Den kræver en vis teknisk indsats af angriberen (høj kompleksitet) og at en bruger interagerer med den ondsindede fil, hvilket sænker scoren en smule. Til gengæld kræves der ingen forudgående login eller adgangskoder.

Konsekvenserne er alvorlige: potentiel fuld kontrol over serveren samt høj risiko for tab af data og systemnedbrud. Tjenester der automatisk behandler indkommende videoer uden menneskelig gennemgang er særligt udsatte, da brugerinteraktionen i praksis kan reduceres til blot at uploade filen.

Følg disse trin for at beskytte din virksomhed:

1. Kortlæg om du bruger libaom: Spørg din IT-ansvarlige eller leverandør, om jeres systemer bruger libaom-biblioteket til videobehandling — særligt med SVC-indkodning aktiveret.
2. Opdatér libaom straks: Installer den seneste patchede version af libaom, så snart den er tilgængelig fra projektets officielle kilde (aomedia.googlesource.com).
3. Deaktivér SVC-indkodning midlertidigt: Hvis du ikke kan opdatere med det samme, så overvej at slå SVC-funktionen fra i libaom-konfigurationen, indtil patchen er installeret.
4. Begræns hvem der kan uploade videoer: Indfør eller stram adgangskontrol, så kun kendte og betroede brugere kan uploade videofiler til systemet.
5. Overvåg dine systemer: Hold øje med unormale nedbrud eller fejl i videoprocesseringstjenester — gentagne crashes kan være tegn på, at nogen forsøger at udnytte fejlen.
6. Kontakt dine softwareleverandører: Spørg om de bruger libaom i deres produkter, og hvornår de forventer at levere en opdatering.