تم العثور على إصدارات FFmpeg من 7.0 قبل 8.1.3 و9.x قبل 9.0.2 تحتوي على عدة ثغرات تجاوز سعة الذاكرة المؤقتة. تقع هذه الثغرات في دوال vk_av1_decode_slice() وliboapve_encode() وvaapi_hevc_start_frame() ضمن مكون libavcodec.
تسمح هذه الثغرات للمهاجمين باستغلال النظام عن طريق تقديم تدفقات وسائط مصممة خصيصاً. على وجه التحديد، يمكن لتدفق AV1 يحتوي على أكثر من 256 بلاطة تجاوز tile_sizes، بينما يمكن للإطارات الأكبر من الأبعاد المكونة أن تفسد ذاكرة الكومة. بالإضافة إلى ذلك، يمكن لتدفق HEVC مصمم خصيصاً مع صورة كبيرة والعديد من البلاطات كتابة قيم 16 بت محكومة بعد البيانات المخصصة في الكومة.
تُعتبر هذه الثغرات ذات خطورة عالية، خاصة عند معالجة الوسائط غير الموثوقة باستخدام تسريع Vulkan أو أثناء عمليات التشفير. تكون خوادم الوسائط والمحولون والتطبيقات المكتبية التي تتعامل مع الفيديو غير الموثوق أكثر عرضة لهذه المشكلات الأمنية.
يتطلب استغلال هذه الثغرات تفاعل المستخدم ومدخلات مصممة، مما يصنفها كهجوم محلي. ومع ذلك، لا يوجد دليل يؤكد استغلال هذه الثغرات فعلياً في الوقت الحالي.