FFmpeg CVE-2026-120243はMedium―Go2Meeting動画からメモリ情報が漏れるおそれ

VulnCheckは日本時間2026年11月1日9時57分、FFmpegのCVE-2026-120243を登録しました。CVSS v4.0は6.8、Medium（中）です。CNAが記載する初回公表日は10月10日で、対象はFFmpeg 2.0〜9.0.2のGo2Meeting動画デコーダーです。

細工されたG2M3・G2M4動画で、色を並べたパレットの要素数より大きい番号を参照すると、kempf_restore_buf()が未初期化のスタック領域を出力へコピーします。結果にポインターなどのメモリ情報が混入するおそれがあります。今回のCVEは情報漏えいであり、任意コード実行が確認されたという内容ではありません。

FFmpegの修正コミットは、画素のパレット番号が要素数以上なら不正データとして処理を止め、呼び出し元へエラーを返す変更です。信頼できない動画を変換するサービスでは、実際のワーカーや同梱ツールがこのデコーダーを使うか確認してください。

修正コミットは公開されていますが、確認したCVEには修正済みリリース番号が示されていません。OSや製品の提供元が配布する更新に、この修正が含まれるか照合します。自前ビルドでは修正の取り込みを確認し、更新後に通常の動画変換と不正入力のエラー処理を確認することが対応の目安です。