远程 Ubuntu 18.04 LTS/20.04 LTS/22.04 LTS/24.04 LTS 主机上安装的多个程序包受到 USN-7830-1 公告中提及的多个漏洞影响。

    已发现 FFmpeg 未正确处理其 Firequalizer 筛选器和 HTTP 直播流 (HLS) 实现中的函数的返回值从而导致空指针取消引用。如果用户

    受到诱骗加载构建的媒体文件远程攻击者就可以

    可能利用此问题使 FFmpeg 崩溃从而导致拒绝服务。CVE-2023-6603、 CVE-2025-10256

    发现 FFmpeg 在触发 HTTP demuxer 前未强制执行输入格式。远程攻击者可能利用此问题进行服务器端请求伪造 (SSRF) 攻击。
    (CVE-2025-6605)

    发现 FFmpeg 未正确处理 ALS 音频解码器中的内存分配。如果用户受到诱骗加载构建的媒体文件远程攻击者可能利用此问题使 FFmpeg 崩溃从而导致拒绝服务。 (CVE-2025-7700)

    发现 FFmpeg 未正确处理 JPEG 2000 解码器中的内存这可导致堆缓冲区溢出。如果用户或

    应用程序遭到诱骗打开特别构建的文件

    可能会利用此问题发起拒绝服务攻击，

    或泄露敏感信息。 (CVE-2025-9951)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4440 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4440-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2026 年 1 月 16 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：ffmpeg 版本：7:4.3.9-0+deb11u2 CVE ID：CVE-2023-6603 CVE-2024-36615 CVE-2025-1594 CVE-2025-7700 CVE-2025-9951 CVE-2025-10256 CVE-2025-63757 Debian 缺陷：

    在 FFmpeg 多媒体框架中发现数个漏洞，如果处理格式错误的文件/流，可导致拒绝服务或执行任意代码。

    CVE-2023-6603

        在 FFmpeg 的 HLS 播放列表解析过程中发现一个缺陷。攻击者可能利用此漏洞，在初始化期间通过恶意构建的 HLS 播放列表触发空指针取消引用，从而造成拒绝服务。

    CVE-2024-36615

        FFmpeg n7.0 的 VP9 解码器中存在争用条件漏洞。这可能在视频编码参数导出过程中造成数据争用，因为端点数据在解码器线程附加的同时，会在输出线程被读取。

    CVE-2025-1594

        在 FFmpeg 7.1 和之前版本中发现一个归类为“严重”的漏洞。这会影响组件 AAC 编码器中 libavcodec/aacenc_tns.c 文件的函数 ff_aac_search_for_tns。攻击者可利用此漏洞造成基于堆栈的缓冲区溢出。可以远程发起攻击。该漏洞已被公开并可被使用。

    CVE-2025-7700

        在 FFmpegs ALS 音频解码器中发现一个缺陷，其未能对内存分配失败情况进行适当检查。这可能造成应用程序在处理某些畸形音频文件时崩溃。尽管该漏洞不会导致数据遭窃或系统失陷，但仍可被攻击者用以扰乱服务，造成拒绝服务。

    CVE-2025-9951

        jpeg2000dec FFmpeg 中存在堆缓冲区溢出写入漏洞，攻击者可能通过 JPEG2000 的通道定义 cdef 原子实现远程代码执行或造成拒绝服务。

    CVE-2025-10256

        FFmpegs Firequalizer 过滤器 (libavfilter/af_firequalizer.c) 中存在空指针取消引用漏洞，原因是其在 config_input() 函数中未检查 av_malloc_array() 的返回值。攻击者可利用此漏洞，诱骗受害者在启用 Firequalizer 过滤器的情况下处理精心构造的媒体文件，从而造成应用程序取消引用空指针并崩溃，最终导致拒绝服务。

    CVE-2025-63757

        FFmpeg 8.0 的 libswscale/output.c 中的 yuv2ya16_X_c_template 函数存在整数溢出漏洞。

    对于 Debian 11 bullseye，这些问题已在 7:4.3.9-0+deb11u2 版本中修复。

    我们建议您升级 ffmpeg 程序包。

    若要了解 ffmpeg 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/ffmpeg

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 FFmpeg 版本低于 8.0。因此，该应用程序会受到漏洞的影响：

  - jpeg2000dec FFmpeg 中存在一个堆缓冲区溢出写入可能允许攻击者通过 JPEG2000的通道定义 cdef atom 获得远程代码执行权限或造成拒绝服务。 (CVE-2025-9951)

Nessus 尚未对此问题进行测试，而只依赖于应用程序自我报告的版本号。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - jpeg2000dec FFmpeg 中存在一个堆缓冲区溢出写入可能允许攻击者通过 JPEG2000的通道定义 cdef atom 获得远程代码执行权限或造成拒绝服务。
    (CVE-2025-9951)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
271190	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTSFFmpeg 漏洞 (USN-7830-1)	Nessus	Ubuntu Local Security Checks	2025/10/22	2026/1/21	high
291274	Debian dla-4440：ffmpeg - 安全更新	Nessus	Debian Local Security Checks	2026/1/17	2026/4/30	high
264602	FFmpeg < 8.0 堆缓冲区溢出	Nessus	Misc.	2025/9/12	2026/1/21	high
264495	Linux Distros 未修补的漏洞：CVE-2025-9951	Nessus	Misc.	2025/9/10	2026/4/29	high

检测

插件搜索

high

high

high

high