CVE-2026-56211: Fejl i libaom kan give fjernkørsel af kode
Sårbarhed i videokodningsbiblioteket libaom kan give fjernstyret kodekørsel. Opdatér libaom og deaktivér SVC-kodning, hvis I ikke bruger det.
Hvad er det?
CVE-2026-56211 er en fejl i libaom, som er referenceimplementeringen af AV1-videokodeken. AV1 er en åben videostandard, der bruges til at komprimere video, så den fylder mindre. Fejlen ligger i en funktion kaldet SVC, Scalable Video Coding, der gør det muligt at kode video i flere kvalitetslag på én gang. Encoderen tjekker ikke grænserne godt nok, når den modtager data om et lag-id, hvilket gør det muligt for en angriber at sende et manipuleret videobillede, der skriver uden for det tiltænkte hukommelsesområde, en såkaldt buffer overflow. Det kan i sidste ende bruges til at overtage kontrollen med den proces, der behandler videoen, og køre vilkårlige kommandoer på serveren.
Hvem rammer det?
Det rammer virksomheder, der bruger libaom i egne systemer eller via andre programmer, som f.eks. ffmpeg, til at kode video med AV1 og SVC-funktionen aktiveret. Det gælder typisk streamingtjenester, videokonferenceløsninger, medieservere og tjenester, der modtager og behandler videoupload fra kunder eller borgere, ofte i såkaldte fork-baserede tjenester, hvor hver videobehandling kører i en separat delproces. Standardbrugere, der blot afspiller video, er ikke berørt.
Hvad kan ske?
En angriber kan sende et videobillede, der udnytter fejlen, til en tjeneste, der koder video med libaom. Lykkes angrebet, kan angriberen få mulighed for at køre egne kommandoer på serveren, hvilket i praksis svarer til fuld overtagelse af den pågældende proces. Det kan betyde adgang til andre systemer på netværket, tab af data eller misbrug af serveren til yderligere angreb. For en dansk virksomhed med en medie- eller videokonferenceplatform kan det betyde driftsstop og et sikkerhedsbrud, der skal håndteres og eventuelt anmeldes.
Hvor alvorligt er det?
CVSS-scoren er 7,1 ud af 10, vurderet som alvorlig. Angrebet kræver ikke login, men kræver en vis brugerhandling, for eksempel at et videobillede bliver uploadet eller modtaget af tjenesten. Angrebskompleksiteten er høj, fordi angriberen skal gætte sig frem til hukommelsesadresser ved at sende gentagne forespørgsler og observere, om tjenesten går ned, en teknik kaldet en crash oracle. Der er ingen kendte tilfælde af aktivt misbrug, og der findes ikke offentligt tilgængelig angrebskode. Sårbarheden kræver desuden, at tjenesten specifikt bruger SVC-kodning og modtager videobilleder fra eksterne brugere.
Hvad gør jeg nu?
Følgende trin lukker hullet og reducerer risikoen, mens I venter på en opdatering:
- Opdatér libaom til den nyeste udgave, hvor fejlen er rettet, i alle systemer og programmer, der bruger biblioteket, herunder ffmpeg og lignende værktøjer.
- Deaktivér SVC-kodning i jeres videoopsætning, hvis funktionen ikke er nødvendig for jeres drift.
- Begræns, hvem der kan sende videodata til jeres kodningstjenester, for eksempel via godkendelse eller filtrering af upload.
- Overvåg logfiler for uventede nedbrud eller genstarter i videobehandlingsprocesser, da det kan være et tegn på forsøg på udnyttelse.
- Isolér videobehandlingstjenester i eget netværkssegment, så et eventuelt kompromis ikke spreder sig videre.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om jeres opsætning bruger SVC, eller hvis I mangler ressourcer til at teste en opdatering hurtigt.
Opdatér inden for 14 dage
Vi anbefaler, at I opdaterer libaom i alle systemer, der koder video, og at I deaktiverer SVC-kodning, hvis den ikke er i brug. Angrebet er teknisk krævende og ikke set udnyttet i praksis, så der er ikke grund til akut nedlukning, men vi anbefaler at have opdateringen på plads inden for et par uger. Er SVC en central del af jeres drift, for eksempel i en videokonferenceløsning, bør I prioritere det højere og teste opdateringen snarest.
Tidslinje
Konkrete eksempler
Videokonferenceplatform med brugerupload
En dansk leverandør af videokonferenceløsninger bruger libaom med SVC aktiveret til at tilpasse videokvaliteten til deltagernes internetforbindelse. En ekstern angriber sender et manipuleret videobillede gennem en mødeklient. Efter flere forsøg, hvor tjenesten genstarter, lykkes det angriberen at ramme den rigtige hukommelsesadresse og få kodekørsel på serveren, hvilket giver adgang til andre kunders mødedata på samme server.
Ofte stillede spørgsmål
Bruger vi overhovedet libaom?
Mange programmer, der koder video til AV1-formatet, bruger libaom under motorhjelmen, herunder ffmpeg og en række medieservere og videokonferenceløsninger. Tjek med jeres leverandør af videoplatform eller kør en versionsforespørgsel på de servere, der behandler video.
Er vi ramt, hvis vi ikke bruger SVC?
Sårbarheden ligger specifikt i SVC-funktionen, Scalable Video Coding. Bruger I ikke den funktion, er risikoen betydeligt lavere, men vi anbefaler stadig at opdatere libaom, da fejlen kan blive relevant, hvis funktionen aktiveres senere.
Kan vi vente til den planlagte vedligeholdelse?
Da angrebet er teknisk krævende og ikke set udnyttet, kan det i mange tilfælde forsvares at vente til næste planlagte vedligeholdelsesvindue, forudsat at det ligger inden for et par uger. Behandler I videoupload fra ukendte eksterne parter, bør I prioritere det hurtigere.
Hvordan tjekker vi, om vi er sårbare?
Se efter, om jeres videobehandlingssystemer bruger libaom med SVC-kodning aktiveret, og om de modtager videodata fra eksterne brugere uden streng adgangskontrol. Er begge dele til stede, bør I behandle sårbarheden som relevant for jer.
Skal vi anmelde noget, hvis vi bliver ramt?
Bliver I udsat for et faktisk angreb, der fører til uautoriseret adgang eller datatab, kan det udløse anmeldelsespligt efter databeskyttelsesreglerne, hvis persondata er involveret. Kontakt jeres databeskyttelsesrådgiver for en konkret vurdering.
CVSS-detaljer
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A remote code execution vulnerability was found in libaom, the reference AV1 codec implementation. Insufficient bounds validation in the AV1 encoder’s SVC (Scalable Video Coding) layer ID control allows an attacker to supply crafted video frame pixels that overlap with internal encoder layer context structures. In fork-based video processing services, an attacker can use this to hijack the cyclic refresh map pointer, brute-force the process base address via a crash oracle, and redirect control flow to achieve arbitrary command execution. Exploitation requires the target service to use libaom with SVC encoding enabled and accept attacker-supplied video frames.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.