CVE-2026-120458
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Kvazaar allant jusqu'à la version 2.3.2 incluse sont affectées. Ce logiciel est un encodeur vidéo en ligne de commande utilisé pour convertir des vidéos brutes au format H.265. La faille réside dans la manière dont le programme lit les en-têtes de fichiers Y4M ; si un fichier est tronqué et ne possède pas de saut de ligne final, l'encodeur entre dans une boucle infinie en tentant de trouver la fin de l'en-tête.
Un attaquant peut provoquer un déni de service en bloquant le processus d'encodage et en consommant 100 % d'un cœur de processeur. Cette attaque ne nécessite ni authentification ni privilèges spéciaux, mais elle requiert que l'utilisateur interagisse avec le système en tentant d'encoder un fichier .y4m malveillant. Il n'y a aucun risque pour la confidentialité ou l'intégrité des données, car l'exploitation n'affecte que la disponibilité des ressources du système local.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Kvazaar through 2.3.2 contains an infinite loop vulnerability in read_header() in src/encmain.c that allows attackers to hang the command-line encoder by supplying a truncated Y4M header. Attackers can provide a crafted .y4m file lacking a terminating newline, causing unchecked EOF reads that hang the process indefinitely while consuming a full CPU core.