---
title: "FFmpeg 9.0.2 以前の 6 件 CVE-2026-120210・120243〜120247（CVSS v3.1 4.3〜5.5）: デコーダーの未初期化メモリ漏えいと IMF デマクサーのパス走査"
url: https://n-t-p.io/worldsecurity/articles/ffmpeg-6-decoder-info-leak-imf-path-traversal-cve-2026-120210-120243-120247
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月2日
updated: 2026年11月2日
severity: 中
cve: CVE-2026-120210, CVE-2026-120243, CVE-2026-120244, CVE-2026-120245, CVE-2026-120246, CVE-2026-120247
---

# FFmpeg 9.0.2 以前の 6 件 CVE-2026-120210・120243〜120247（CVSS v3.1 4.3〜5.5）: デコーダーの未初期化メモリ漏えいと IMF デマクサーのパス走査

> **TL;DR:** FFmpeg 9.0.2 までの版に 6 件の脆弱性（CVE-2026-120210、120243〜120247）。Go2Meeting・PCX・Sun Raster・CDXL・Huffyuv の各デコーダーで細工したファイルを処理すると未初期化のメモリが出力画素に混ざって漏えいし、IMF デマクサーはパッケージ外のローカルファイルを開かせられる。CVSS v3.1 は 4.3〜5.5。KEV なし、EPSS は 0.1〜0.3％。

**要点**
- FFmpeg 9.0.2 までが対象（版の下限は CVE ごとに 0.10〜5.0）。Go2Meeting・PCX・Sun Raster・CDXL・Huffyuv の 5 デコーダーで未初期化メモリが出力に出る（CWE-457・908）
- IMF デマクサーは ASSETMAP の Path を検証せず、パッケージ外のローカルファイルを開く（CWE-22、CVE-2026-120210）
- CVSS v3.1 は 120210 が 4.3、ほか 5 件が 5.5。NVD は Awaiting Analysis、KEV 掲載なし、EPSS は 0.12〜0.28％
- 修正を含む正式リリース版、ディストリビューションの修正状況、悪用の有無は未確認

NVD は 2026-10-31〜11-01 に、FFmpeg の脆弱性 6 件（CVE-2026-120210、120243〜120247）を登録しました。5 件は Go2Meeting・PCX・Sun Raster・CDXL・Huffyuv のデコーダーで未初期化のメモリが出力フレームに混ざり、細工したファイルを処理するとヒープやスタックの内容（ポインターなど）が画像・動画の画素として読み出せる問題です。残る 1 件は IMF デマクサーで、ASSETMAP の Path 要素を検証しないため、パッケージの外にあるローカルのファイルを開かせられる問題です。いずれも対象は 9.0.2 までの版で、CVSS v3.1 は 4.3〜5.5 です。

## 概要

| CVE | 対象 | 問題 | CWE | CVSS v3.1 / v4.0 |
|---|---|---|---|---|
| CVE-2026-120210 | IMF デマクサー（libavformat/imfdec.c） | ASSETMAP の Path 要素の `..` や絶対パスを検証せず、パッケージ外のローカル MXF ファイルを開く。ファイルの有無・大きさの探索や、サーバー側のリクエスト発生につながり得る | CWE-22 | 4.3（AV:N/UI:R/C:L）/ 5.3 |
| CVE-2026-120243 | Go2Meeting デコーダー（g2meet.c） | G2M3/G2M4 で Kempf パレットが短いと、`kempf_restore_buf()` が未初期化のスタックを出力へ複写する | CWE-457 | 5.5（AV:L/UI:R/C:H）/ 6.8 |
| CVE-2026-120244 | PCX デコーダー（pcx.c） | RLE データが途中で終わると、`av_malloc()` の未初期化バッファが画素に出る | CWE-908 | 5.5 / 6.8 |
| CVE-2026-120245 | Sun Raster デコーダー（sunrast.c） | 切り詰められた 1 ビット・4 ビットのパレット画像で、未クリアの一時バッファが PAL8 画素へ展開される | CWE-908 | 5.5 / 6.8 |
| CVE-2026-120246 | CDXL デコーダー（cdxl.c） | type-0 の HAM 画素が未設定の `new_palette` を選ぶと、スタックの内容が BGR24 出力に出る | CWE-457 | 5.5 / 6.8 |
| CVE-2026-120247 | Huffyuv デコーダー（huffyuvdec.c） | BGR24/BGRA でエントロピーデータが早く終わると、未初期化の `s->temp[0]` が出力に加算される | CWE-908 | 5.5 / 6.8 |

- 影響を受ける版（NVD の記載）: 120210 は 5.0〜9.0.2、120243 は 2.0〜9.0.2、120244 は 2.1〜9.0.2、120245 は 0.10〜9.0.2、120246 は 4.4〜9.0.2、120247 は 2.3〜9.0.2。
- 数値は VulnCheck が付与しています。NVD 公開日は 120210 が 2026-10-31、残り 5 件が 2026-11-01 です。

## 影響範囲

- 5 件のデコーダーの問題は、細工したファイルを FFmpeg（またはライブラリを使うアプリ）にデコードさせたときに、メモリの内容が出力の画素に混ざる情報漏えいです。ASLR を弱めるポインター情報や、スタックガードなどが読み出せる可能性が NVD に書かれています。コード実行やクラッシュの記載はありません。
- 攻撃経路はローカル（AV:L）で、ファイルを処理させる操作（UI:R）が前提です。ただし、サムネイル生成や動画変換のように、利用者がアップロードしたファイルを自動でデコードするサービスでは、出力画像が利用者に返される構成だと漏えいした内容が外部から見える可能性があります。その構成は NVD には書かれておらず、個別の環境で確認が必要です。
- 120210 は攻撃経路がネットワーク（AV:N）で、細工した IMF パッケージを読ませると、パッケージ外のローカル MXF ファイルのデマクスや、ファイルの有無・大きさの確認、サーバー側のリクエストの発生が起き得ます。機密性への影響は低（C:L）とされています。
- いずれも認証は不要（PR:N）です。

## 修正

NVD の参照には、FFmpeg のプルリクエストと、一部の CVE（120243〜120247）では修正のコミットが挙がっています（120243 は edad2d0、120244 は ecd5dfc、120245 は 356a391 と 66b6ca2、120246 は 47313ad、120247 は 7c73707）。120210 は修正のプルリクエスト（#25341）が挙がっています。修正を含む正式なリリース版は、確認できた範囲では記載がありません。各ディストリビューションのパッケージの修正状況も確認できていません。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| NVD の状態 | 6 件とも Awaiting Analysis（NVD 自身の分析は未実施） |
| CVSS v3.1 | 120210 は 4.3（MEDIUM）、ほか 5 件は 5.5（MEDIUM） |
| CVSS v4.0 | 120210 は 5.3、ほか 5 件は 6.8 |
| EPSS | 120210 は 0.00276（パーセンタイル 20.1％）、ほか 5 件は 0.00124（パーセンタイル 2.1％）（FIRST、2026-11-02 時点） |
| KEV | 掲載なし（CISA のカタログを確認） |
| 出典 | NVD、VulnCheck の勧告、FIRST（EPSS）、CISA（KEV）、FFmpeg のプルリクエスト |

## severity を medium とした提案の理由

6 件とも CVSS v3.1 は 4.3〜5.5 で、影響は情報漏えい（機密性のみ）に限られ、コード実行やサービス停止の記載がありません。過去の判断の基準（認証不要かつ CVSS 9 以上だけ critical、それ以外は high 以下）に照らし、high にも届かない medium を提案します。ただしファイル処理を外部の利用者に開いている構成では、漏えいの重みが変わり得ます。

## 対応として考えられること

1. FFmpeg の版を確認し（`ffmpeg -version`）、修正を含む版またはディストリビューションの更新が出たら適用します。
2. 利用者がアップロードしたファイルを FFmpeg で自動処理している場合は、入力の形式を `-f` や許可リストで絞り、Go2Meeting・PCX・Sun Raster・CDXL・Huffyuv・IMF のような使わない形式を受け付けないようにします。
3. 変換後の画像や動画を利用者に返すサービスは、未初期化メモリが出力に混ざる前提で、処理を隔離した環境（コンテナーや権限を絞ったプロセス）で実行します。
4. IMF パッケージを扱う場合は、信頼できない ASSETMAP を読ませない、あるいは読み取りを許すディレクトリを制限します。

## 未確認の点

- 実際の攻撃での悪用は確認していません。
- 修正を含む正式なリリース版と、各ディストリビューションの修正状況は確認できていません。
- ポインターやスタックガードの漏えいが、実際に他の攻撃へつながるかは確認していません。
- サーバー側のリクエスト発生（120210）が現実に成立する条件は確認していません。
- NVD の分析は未実施です。


## 出典
- [NVD CVE-2026-120243（ほか 5 件は番号違い）](https://nvd.nist.gov/vuln/detail/CVE-2026-120243) — NIST NVD
- [VulnCheck 勧告（IMF デマクサー）](https://www.vulncheck.com/advisories/ffmpeg-5.0-through-9.0.2-path-traversal-via-imf-demuxer-assetmap-path) — VulnCheck
- [VulnCheck 勧告（Go2Meeting）](https://www.vulncheck.com/advisories/ffmpeg-2.0-through-9.0.2-information-disclosure-via-g2m-kempf-palette) — VulnCheck
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-120243) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/ffmpeg-6-decoder-info-leak-imf-path-traversal-cve-2026-120210-120243-120247