CVE 데이터베이스CVE-2026-120244

최종 갱신 2026-11-02English Advisory →

CVE-2026-1202445.5/MEDIUMCWE-908

FFmpeg PCX 디코더 초기화되지 않은 메모리 누수 취약점 (CVE-2026-120244) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

ffmpeg

대상 컴포넌트 / 패키지

ffmpeg

권고문 발행일

2026-11-01

CVSS v3.1

5.5

MEDIUM

30일 악용확률

0.1%

FIRST.org

CISA KEV

미등재

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

FFmpeg 버전 2.1부터 9.0.2 사이의 PCX 이미지 디코더 모듈

파급 효과

공격자가 조작한 PCX 이미지를 처리할 때 초기화되지 않은 힙 메모리 영역이 디코딩된 픽셀 데이터로 복사되어 민감한 정보가 외부로 유출될 수 있음

권장 조치

FFmpeg 공식 패치 커밋을 적용하거나, 취약점이 해결된 최신 안정화 버전으로 업데이트 수행

영향받는 제품 및 버전 범위

FFmpeg 버전 2.1부터 9.0.2까지의 모든 릴리즈 버전 (PCX 디코더 모듈 사용 시 영향 받음)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

FFmpeg 소스 코드를 직접 빌드하여 사용하는 경우, 공식 패치 커밋(ecd5dfc308a164757e7f25b1afefd8db21b43cf9)이 반영된 최신 소스를 체크아웃하여 재빌드해야 합니다.

bash

# FFmpeg 공식 저장소 복제 및 패치 버전 빌드
git clone https://github.com/FFmpeg/FFmpeg.git
cd FFmpeg
git fetch --tags
# 취약점이 해결된 최신 안정화 브랜치 또는 커밋 적용 확인
git checkout ecd5dfc308a164757e7f25b1afefd8db21b43cf9

# 빌드 환경 설정 및 컴파일
./configure --enable-shared --disable-static
make -j$(nproc)
sudo make install
sudo ldconfig

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치 적용이 어려운 경우, 웹 애플리케이션이나 미디어 처리 게이트웨이 단에서 PCX 포맷 파일의 업로드 및 처리를 원천 차단하는 정책을 적용해야 합니다. Nginx 등 리버스 프록시나 애플리케이션 방화벽에서 파일 확장자 및 MIME 타입을 검증하십시오.

nginx

# Nginx 설정 파일 내 PCX 파일 업로드 제한 예시
server {
    listen 80;
    server_name media.example.com;

    # .pcx 확장자를 가진 파일의 요청 및 업로드 차단
    location ~* \.(pcx)$ {
        deny all;
        return 403 'PCX format is not allowed due to security policy.';
    }
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내에 설치된 FFmpeg 버전을 확인하고, 의심스러운 PCX 파일 유입 여부를 점검하기 위한 쉘 스크립트 예시입니다.

bash

#!/bin/bash
# FFmpeg 설치 버전 확인
if command -v ffmpeg >/dev/null 2>&1; then
    FFMPEG_VER=$(ffmpeg -version | head -n 1 | awk '{print $3}')
    echo '[INFO] Detected FFmpeg Version: '$FFMPEG_VER
else
    echo '[WARNING] FFmpeg is not installed or not in PATH.'
fi

# 업로드 디렉토리 내 PCX 파일 존재 여부 스캔
TARGET_DIR='/var/www/uploads'
echo '[INFO] Scanning for PCX files in '$TARGET_DIR
find '$TARGET_DIR' -type f -name '*.pcx' 2>/dev/null

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Snyk Open Source & Container Security

FFmpeg을 사용하는 미디어 처리 서버는 즉시 패치 커밋을 적용하거나 PCX 포맷 디코딩 기능을 비활성화하십시오.

내 GitHub/GitLab 레포지토리에 이 취약한 패키지가 숨어 있는지 30초 만에 스캔하세요

간접 의존성(Transitive Dependency)에 포함된 취약점은 수동 확인이 불가능합니다. Git 연동 한 번으로 취약 버전 탐지부터 호환성을 유지하는 최소 버전 업그레이드 PR까지 자동 생성하세요.

무료 플랜 지원 · GitHub/GitLab 1클릭 연동

내 프로젝트 무료 취약점 스캔 시작하기

CI/CD 파이프라인에 자동 보안 스캐닝(SAST/SCA) 구축하는 실전 강의

커리큘럼 확인하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2026-120244)은 멀티미디어 프레임워크인 FFmpeg의 PCX 이미지 디코더(libavcodec/pcx.c)에서 발생하는 초기화되지 않은 메모리 사용(CWE-908) 취약점입니다. FFmpeg은 PCX 이미지 디코딩 시 av_malloc()을 통해 버퍼를 할당하지만, 이 버퍼는 초기화(Zero-initialize)되지 않은 상태로 유지됩니다. RLE(Run-Length Encoding) 압축 데이터가 예상보다 일찍 종료되는 비정상적인 PCX 파일을 처리할 때, 디코더가 버퍼의 나머지 부분을 적절히 채우지 못하고 기존 힙 메모리에 남아 있던 쓰레기 값을 그대로 디코딩된 픽셀 데이터로 복사하게 됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 RLE 스캔라인 데이터가 중간에 누락되거나 조기 종료되도록 조작된 악성 PCX 이미지를 생성합니다. 사용자가 이 이미지를 FFmpeg 기반 서비스(예: 미디어 변환 서버, 썸네일 생성기, 비디오 플레이어)를 통해 업로드하거나 렌더링하도록 유도하면, pcx_decode_frame() 함수가 실행됩니다. 이 과정에서 초기화되지 않은 av_malloc() 버퍼 영역의 데이터가 최종 출력 이미지의 픽셀 값으로 변환되어 화면에 표시되거나 저장됩니다. 공격자는 결과물로 생성된 이미지의 픽셀 값을 역산하여, 이전에 메모리에 로드되었던 다른 프로세스나 세션의 민감한 데이터(암호화 키, 세션 토큰, 메모리 주소 등)를 탈취할 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CVSS 5.5(Medium) 등급으로 분류되었으나, 미디어 자산을 자동으로 처리하는 웹 애플리케이션 및 클라우드 파이프라인 환경에서는 심각한 정보 유출 통로가 될 수 있습니다. 특히 멀티테넌트(Multi-tenant) SaaS 환경에서 다른 사용자의 메모리 파편이 이미지 픽셀을 통해 시각적으로 노출될 경우, 심각한 개인정보 유출 및 컴플라이언스 위반 사고로 이어질 수 있습니다. 또한 유출된 메모리 주소 정보를 바탕으로 ASLR(Address Space Layout Randomization) 우회 등 2차 공격 체인을 구성하는 데 악용될 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

FFmpeg 2.1 through 9.0.2 contains a use of uninitialized resource vulnerability in the PCX decoder that allows attackers to leak heap memory through truncated RLE scanlines. Attackers can craft a PCX image whose RLE data ends early, causing pcx_decode_frame() to copy uninitialized av_malloc() buffer contents into visible decoded pixels.

https://code.ffmpeg.org/FFmpeg/FFmpeg/pulls/24868

출처: disclosure@vulncheck.com

https://github.com/FFmpeg/FFmpeg

출처: disclosure@vulncheck.com

https://github.com/FFmpeg/FFmpeg/blob/n9.0.2/libavcodec/pcx.c#L45-L59

출처: disclosure@vulncheck.com

https://github.com/FFmpeg/FFmpeg/commit/ecd5dfc308a164757e7f25b1afefd8db21b43cf9

출처: disclosure@vulncheck.com

https://www.vulncheck.com/advisories/ffmpeg-2.1-through-9.0.2-uninitialized-memory-leak-via-pcx-decoder

출처: disclosure@vulncheck.com