Intel

CVE-2026-30754

Ein Speicherfehler besteht in FFmpeg vor Version 8.1 im RTP-Codierungsprozess (CVE-2026-30754)

highEPSS 0.4 %

Beschreibung

Ein Speicherfehler besteht in FFmpeg vor Version 8.1 im RTP-Codierungsprozess. In der Funktion nal_send in libavformat/rtpenc_h264_hevc.c wird ein negativer Größenparameter (Größe=-3) an memcpy übergeben, wenn H.264/HEVC-Streams über RTP mit einem manipulierten Eingabedatei gesendet werden. Dies wurde mithilfe von AddressSanitizer erkannt.

Quelle: CVELISTV5NVDBSI_CSAFBSI

Metriken

Severity
high
Priority-Score
90.72
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
8.8
Quelle: cna-v3
CVSS v3
8.8
CVSS v4
—
EPSS-Perzentil
27.9 %
Erhöht — CVE ist relevanter als mindestens 10 % der heute bewerteten CVEs.
EPSS-Score
0.4 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-09-08 00:00 UTC
CWE
—

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-09-09 16:17 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • CVSS V3.1: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
    • CWE: CWE-787
    • SSVC: {"id":"CVE-2026-30754","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalI…
  2. New CVE Received2026-09-08 21:17 UTC· cve@mitre.org
    • Description: A memory corruption vulnerability exists in FFmpeg before 8.1. The RTP encoding process. In the nal_send function in libavformat/rtpenc_h264_hevc.c, a negative size parameter (size=-3) is passed to memcpy when transmitting H.264/HEVC streams via RTP using a crafted input file. This was detected using AddressSanitizer.
    • Affected: New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/30xxx/CVE-2026-30754.json">CVE-2026-30754</a>
    • Reference: https://code.ffmpeg.org/FFmpeg/FFmpeg/pulls/20746
    • Reference: https://gist.github.com/momo-trip/4cddf2c9e15600873de55259dac6b0e6

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • Open Source

    ffmpeg< 8.1

    gefixt in 8.1

Quellen & Referenzen

IDCVE-2026-30754