🟠 《高危安全漏洞：CVE-2026-64830》

CVSS 评分: 高危（8.7）　　状态: Received　　发布时间: 2026-07-22

漏洞简介

CVE-2026-64830 是一个存在于 FFmpeg 多媒体框架中的堆缓冲区溢出（heap buffer overflow）漏洞，对应 CWE-787（越界写入）。该漏洞位于 VobSub 字幕解复用器（demuxer）中，具体涉及 libavformat/mpeg.c 文件。当用户提供的恶意 .sub 或 .idx 字幕文件声明了超过固定大小数组边界的多个不同流 ID（stream IDs）时，攻击者可以利用该漏洞破坏相邻的堆内存。

漏洞的触发机制如下：FFmpeg 在处理 VobSub 字幕文件时，使用一个固定大小的数组 vobsub->q[] 来存储流 ID 相关信息。如果攻击者构造的字幕文件包含过多不同的流 ID，程序会通过 ff_subtitles_queue_insert() 函数执行无界写入（unbounded writes），导致数据被写入数组边界之外，从而引发堆缓冲区溢出。

该漏洞的 CVSS 4.0 向量为 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X，基础评分较高，表明其利用难度较低且影响严重。

影响范围

  • 受影响版本：FFmpeg 2.1 至 8.1.2（含）之间的所有版本。
  • 不受影响版本：FFmpeg 8.1.2 之后的版本（官方已通过提交 dbd495f066a85ba96b17433f4306582aa37c3951 修复该漏洞）。
  • 影响组件：VobSub 字幕解复用器（demuxer），位于 libavformat/mpeg.c 中。

风险分析

  • 攻击向量：攻击者可以通过诱导用户或应用程序打开一个特制的 .sub 或 .idx 字幕文件来触发漏洞。由于攻击者无需认证且攻击复杂度低（CVSS 中 AV:N 和 AC:L），该漏洞可被远程利用。
  • 潜在后果：成功利用该漏洞后，攻击者可以：
    • 破坏堆内存：溢出写入相邻堆区域，可能导致程序崩溃（拒绝服务）。
    • 任意代码执行：通过精心构造的溢出数据，攻击者可能控制程序执行流程，实现任意代码执行（arbitrary code execution）。这意味着攻击者可以在使用 FFmpeg VobSub 解复用器的任何应用程序（如媒体播放器、视频编辑软件、流媒体服务等）中执行恶意代码，进而完全控制受影响的系统。
  • 影响范围：由于 FFmpeg 被广泛集成于各类多媒体应用和库中，该漏洞的影响面较广，可能涉及桌面软件、服务器端处理工具以及嵌入式设备。任何依赖 FFmpeg 处理 VobSub 字幕的组件均面临风险。

🔍 技术细节

字段 值
CVE ID CVE-2026-64830
CVSS 评分 8.7 🟠
严重程度 高危
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-787
发布时间 2026-07-22
最后更新 2026-07-22
状态 Received
数据来源 disclosure@vulncheck.com

🔗 参考链接