FFmpeg RASC 디코더 취약점 공개...조작된 미디어로 메모리 손상 가능

GitHub Advisory Database에 따르면 FFmpeg RASC 비디오 디코더에서 조작된 미디어 스트림 처리 시 메모리 손상을 일으킬 수 있는 취약점 CVE-2026-58049가 2026년 6월 28일 공개됐다. 이 취약점은 FFmpeg의 libavcodec/rasc.c에 있는 decode_dlta 처리 과정과 관련돼 있으며, GitHub는 심각도를 High, CVSS 4.0 기준 8.8점으로 표시했다.

권고에 따르면 문제는 RASC FourCC를 사용하는 조작된 미디어 스트림을 libavcodec이 디코딩할 때 발생할 수 있다. DLTA 처리 과정에서 행 경계 확인 전에 32비트 읽기와 쓰기가 수행되고, 일부 영역 검증이 바이트가 아니라 픽셀 단위로 이뤄지면서 PAL8 프레임의 행 할당 범위를 벗어난 접근이 가능하다는 설명이다. 그 결과 비트스트림으로 제어되는 힙 범위 밖 쓰기와 인접 범위 밖 읽기가 발생해 메모리 손상으로 이어질 수 있다.

FFmpeg는 영상 재생기, 서버형 미디어 라이브러리, 썸네일 생성기, 클라우드 트랜스코딩 파이프라인 등 다양한 소프트웨어에 포함되는 핵심 미디어 처리 구성요소다. 취약점이 특정 디코더에 위치하더라도, 이용자가 직접 FFmpeg를 실행하지 않는 서비스나 애플리케이션이 내부적으로 libavcodec을 호출하는 경우 영향 범위가 넓어질 수 있다.

다만 이번 권고는 GitHub Advisory Database와 NVD를 통해 확인됐으며, 확인 시점 기준 FFmpeg 공식 보안 페이지에는 최근 다른 FFmpeg 취약점인 CVE-2026-8461 관련 항목은 반영돼 있으나 CVE-2026-58049의 구체적 패치 버전 표기는 별도로 확인되지 않았다. 운영자는 FFmpeg 배포판과 각 하위 애플리케이션의 보안 공지를 함께 확인하고, RASC 디코딩이 필요 없는 환경에서는 관련 코덱 처리 경로를 제한하는 방안도 검토할 필요가 있다.

출처: GitHub Advisory Database(https://github.com/advisories/GHSA-mjxr-6gqf-w78h), NVD(https://nvd.nist.gov/vuln/detail/CVE-2026-58049), FFmpeg Security(https://ffmpeg.org/security.html)