CVE-2026-56209: Sårbarhed i libaom kan give nedbrud

libaom er referenceimplementeringen af AV1-videokodeken, som mange video- og streamingprodukter bygger på. Sårbarheden ligger i en funktion, der styrer lag-id i SVC (Scalable Video Coding), en teknik hvor en video kodes i flere kvalitetslag samtidig. Der mangler et tjek af grænser i koden, så en angriber kan snyde encoderen til at skrive omkring 1.200 byte til en vilkårlig hukommelsesadresse via specialkonstruerede billedpixelværdier. Fejlen er deterministisk, det vil sige den virker sikkert hver gang og kræver ikke, at angriberen først lækker information om hukommelsen. Fejltypen kaldes en out-of-bounds write (CWE-787), altså skrivning uden for det tilladte hukommelsesområde.

Det rammer virksomheder, der selv bygger eller driver systemer med libaom som encoder, og hvor SVC-funktionen er slået til. Det gælder typisk videokonference-platforme, streamingtjenester og transkoderingsservere, der modtager og koder videobilleder fra eksterne kilder over netværket. Almindelige browsere, der bruger libaom til afspilning, er ikke i samme risikogruppe, da sårbarheden sidder i encoderen, ikke i afspilningen. Er I i tvivl om, hvorvidt jeres video-infrastruktur bruger libaom med SVC, bør det afklares med jeres leverandør.

En angriber, der kan sende videobilleder til en sårbar encoder, kan få tjenesten til at gå ned, hvilket stopper videokonferencer eller streaming for alle brugere. Fordi skrivningen sker til en adresse, angriberen selv kan styre, er der også en risiko for, at angrebet i værste fald kan bruges til at køre vilkårlig kode på serveren. For en dansk virksomhed betyder det i praksis driftsstop på videoservices og et muligt indgangspunkt til resten af serverinfrastrukturen.

CVSS-scoren er 7,1 ud af 10, alvorlig. Angrebet kan udføres over netværket uden at kræve login eller særlige rettigheder, men det kræver, at en bruger eller et system aktivt sender den skadelige videostrøm til encoderen. Der er ingen risiko for at data læses eller lækkes, men konsekvensen for tilgængelighed er høj, altså stor risiko for nedbrud, mens risikoen for datamanipulation er lav. Der er ingen oplysninger om, at sårbarheden aktivt udnyttes i angreb på tidspunktet for offentliggørelsen.

Gør følgende for at reducere risikoen:

1. Undersøg om jeres video- eller streamingløsning bruger libaom med SVC-kodning aktiveret, og om den modtager video fra eksterne eller ubetroede kilder.
2. Opdatér libaom til en rettet version, så snart jeres leverandør eller distribution udsender den.
3. Slå SVC-kodning fra for ubetroede videokilder, indtil en rettelse er på plads.
4. Begræns netværksadgangen til encoderservere, så kun godkendte systemer kan sende videostrømme.
5. Overvåg encoderprocesser for uventede nedbrud eller genstarter, som kan være tegn på forsøg på udnyttelse.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan afklare, om jeres systemer bruger libaom med SVC, eller hvis I mangler ressourcer til at teste og udrulle en rettelse.