CVE-2026-56210: Fejl i libaom AV1-kodningsbibliotek

Sårbarheden (CVE-2026-56210) findes i libaom, som er referenceimplementeringen af AV1-videokodning og bruges bredt i browsere, videokonferencesystemer og medieservere. Fejlen ligger i den funktion, der styrer lag-id i SVC (Scalable Video Coding), en teknik hvor video kodes i flere kvalitetslag. Der mangler et tjek af, om et angivet lag-id (spatial_layer_id) overholder det antal lag, der faktisk er sat op. Det gør, at programmet kan læse omkring 40.728 byte uden for det tilladte hukommelsesområde, når det slår et lag op i en intern tabel. Fejltypen kaldes CWE-125, out-of-bounds read, og betyder, at koden læser data den ikke burde have adgang til.

Sårbarheden rammer alle produkter og tjenester, der er bygget på libaom, og som tager imod eller behandler AV1-video med SVC-lag fra eksterne kilder. Det gælder browsere, videokonferenceplatforme, streamingtjenester og medieservere. Danske virksomheder, der selv driver videoinfrastruktur, transkoderingstjenester eller integrerer libaom i egne løsninger, bør undersøge, om deres opsætning tager imod SVC-parametre fra brugere eller eksterne systemer, de ikke selv kontrollerer.

En angriber, der kan påvirke SVC-encoderparametre i en netværksrettet tjeneste, kan udløse fejlen på to måder. Enten læses fragmenter af serverens hukommelse, som kan indeholde andre brugeres data eller interne værdier, eller programmet rammer ukortlagt hukommelse og går ned. For en dansk virksomhed betyder det i praksis, at en videokonference- eller streamingtjeneste kan blive utilgængelig gentagne gange, eller at følsomme data lækkes i mindre mængder ad gangen.

CVSS-scoren er 7,1 af 10, alvorlig. Angrebet kræver ikke login (PR:N) og kan udføres over netværk (AV:N) med lav teknisk kompleksitet, men det kræver brugerinteraktion (UI:R), for eksempel at en bruger deltager i et opkald eller åbner en strøm, der udløser den sårbare kode. Konsekvensen er lav for fortrolighed, ingen for integritet, men høj for tilgængelighed, altså primært risiko for nedbrud. Der er ikke oplysninger om, at sårbarheden er udnyttet i praksis, og der er ikke kendt offentlig kode til at udnytte den.

Følgende punkter lukker hullet og reducerer risikoen, mens I venter på en fast rettelse fra jeres leverandør.

1. Kortlæg, om jeres systemer eller leverandører bruger libaom til AV1-kodning, og opdatér til den version, hvor rettelsen er inkluderet, så snart den udgives.
2. Kontakt jeres leverandører af videokonference-, streaming- eller medieløsninger, og bed om en tidsplan for, hvornår rettelsen kommer i deres produkt.
3. Begræns eller valider, hvem der kan sætte SVC-encoderparametre i jeres tjenester, så kun betroede kilder kan styre lag-id’et.
4. Overvåg logs for uventede nedbrud eller segmenteringsfejl i medieprocesser, som kan være et tegn på forsøg på udnyttelse.
5. Få hjælp udefra, hvis I selv udvikler eller drifter en løsning bygget på libaom, og I er i tvivl om, hvordan I afgrænser adgangen til SVC-parametrene.