Präparierte fremde RIST-Streams können FFmpeg angreifen

FFmpeg ist eine verbreitete Software zum Einlesen, Umwandeln und Ausgeben von Audio- und Videodaten. RIST ist ein Transportprotokoll für Live-Audio und Live-Video über störanfällige Netze. In FFmpegs RIST-Protokollleser kann ein übergroßes Paket einen Heap-Buffer-Overflow auslösen – dabei schreibt der Prozess Daten über den reservierten Speicherbereich hinaus.

Die entscheidende Einschränkung steht nicht im Kleingedruckten, sondern mitten im Angriffsweg: CVE-2026-75143 ist nur aus der Ferne erreichbar, wenn ein Dienst fremde RIST-Streams über async:rist:// verarbeitet. Ein Server wird durch diese Schwachstelle nicht allein deshalb angreifbar, weil irgendwo FFmpeg installiert ist.

So sieht der Angriff für den Betreiber aus

Ein Streamingdienst nimmt einen Live-Feed von einem Kunden, Partner oder sonstigen externen Sender entgegen. Ein FFmpeg-Worker öffnet diesen Feed über async:rist:// und verarbeitet ihn etwa für eine Vorschau, Aufzeichnung oder Weiterleitung.

Der Sender übermittelt ein übergroßes RIST-Paket. Dafür braucht er laut Canonical weder besondere Rechte noch eine Handlung eines angemeldeten Nutzers. Beim Einlesen überschreibt FFmpeg Speicher außerhalb des vorgesehenen Puffers. Der Worker kann dadurch abstürzen; Canonical nennt außerdem eine mögliche Ausführung von Code mit den Rechten des FFmpeg-Prozesses.

Das sichtbare Warnsignal ist kein verdächtiges Dialogfenster, sondern ein unerwartet beendeter oder wiederholt neu startender FFmpeg-Worker unmittelbar nach Annahme eines fremden Streams. Bei automatischen Neustarts kann aus einem Absturz schnell eine ziemlich zuverlässige Endlosschleife werden.

Warum die Einstufung nur bedingt kritisch ist

Der Fehler liegt in einer Netzwerkverarbeitung und kann ohne Nutzerinteraktion ausgelöst werden. Wo ein öffentlich oder für fremde Einspeiser erreichbarer RIST-Eingang die Daten direkt an einen verwundbaren FFmpeg-Prozess übergibt, ist die mögliche Codeausführung ein kritisches Risiko.

Daraus folgt nicht, dass jede FFmpeg-Installation sofort rot blinken muss. Systeme, die keine RIST-Streams verwenden, besitzen den erforderlichen Angriffsweg nicht. Bei kontrollierten Quellen sinkt das Risiko nur, solange ein Angreifer keine Kontrolle über einen zugelassenen Sender erlangt. Die Schwachstelle ist ernst; der erforderliche Angriffsweg ist immerhin eng.

Paketstand am 10. September 2026

Canonical veröffentlichte am 9. September 2026 aktualisierte Pakete über Ubuntu Pro beziehungsweise ESM Apps:

• Ubuntu 26.04: 7:8.0.1-3ubuntu2+esm4
• Ubuntu 24.04: 7:6.1.1-3ubuntu5+esm13
• Ubuntu 22.04: 7:4.4.2-0ubuntu0.22.04.1+esm15

Der Debian Security Tracker führt zu diesem Zeitpunkt weiterhin verwundbare Pakete:

• Bookworm: 7:5.1.9-0+deb12u1
• Trixie: 7:7.1.5-0+deb13u1
• Sid und Forky: 7:8.1.2-2

Für Debian verweist der Tracker bereits auf Korrekturen im Upstream-Projekt, nennt aber noch kein korrigiertes Distributionspaket.

Was jetzt sinnvoll ist

Zuerst sollte geklärt werden, ob eine Anwendung überhaupt async:rist:// verwendet und wer Streams an diesen Eingang liefern kann. Auf Ubuntu-Systemen mit passendem Pro- beziehungsweise ESM-Zugang ist anschließend das korrigierte Paket einzuspielen.

Für noch ungepatchte Debian-Systeme bleiben drei nüchterne Möglichkeiten: RIST vorübergehend deaktivieren, den Eingang auf vertrauenswürdige Sender begrenzen und den FFmpeg-Prozess streng isolieren oder einen nachvollziehbar aus den Upstream-Korrekturen gebauten Stand einsetzen.

In den geprüften Quellen wird keine aktive Ausnutzung bestätigt. Das bedeutet lediglich, dass dort keine dokumentiert ist – nicht, dass ein verwundbarer öffentlicher Eingang eine gute Idee wäre.

Quellen: Ubuntu: CVE-2026-75143, Ubuntu Security Notice USN-8716-2, Debian Security Tracker.