CVE-2026-110599
Vulnérabilité élevée dans l-smash (l-smash)
CVSS 7.1 · Élevée
EPSS 0.2%
l-smash•l-smash•Versions : 0, <=2.14.5
Description
L-SMASH through 2.14.5 contains a double free vulnerability in hevc_setup_first_summary() and h264_setup_first_summary() in importer/nalu_imp.c that frees borrowed codec-specific objects on error paths. Attackers can supply a crafted Annex-B elementary stream lacking a parseable SPS to lsmash_read_file() or the boxdumper, remuxer, or muxer tools, causing use-after-free, heap corruption, and crashes.
Gravité et risque d'exploitation
CVE-2026-110599 obtient un score CVSS de 7.1/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.24 %, ce qui la place devant 14.6 % des CVE référencées.
Que faire ?
- Vérifiez si l-smash (versions 0, <=2.14.5) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://hackmd.io/@haind-pwn/l-smash-hevc-importer-double-free
- https://github.com/l-smash/l-smash/blob/v2.14.5/importer/nalu_imp.c#L1356-L1378
- https://github.com/l-smash/l-smash/blob/v2.14.5/importer/nalu_imp.c#L697-L715
- https://www.vulncheck.com/advisories/l-smash-through-2.14.5-double-free-in-hevc-and-h-264-importer-probe