近日，开源多媒体处理库 FFmpeg 被曝出一项严重的内存安全漏洞，涉及核心函数 sws_scale。当该函数将经过缩放处理的图像数据直接写入 QImage 对象时，会触发堆损坏（heap corruption），导致程序崩溃并显示“Aborted”或“double free”错误。该问题迅速引发了视频处理与Qt开发社区的广泛关注，多位开发者已确认在实时视频流渲染、图像编辑等场景中复现该异常。
漏洞细节：缓冲区尺寸不匹配成导火索
据社区报告，问题集中在 FFmpeg 的 libswscale 模块。sws_scale 负责像素格式转换与图像缩放，输出数据通常存储在用户提供的缓冲区中。当开发者在 Qt 框架下将输出目标设定为 QImage 的字节数组（如 bits() 方法返回的指针）时，sws_scale 在写入过程中会超出 QImage 实际分配的像素缓冲区边界，覆盖相邻堆内存，最终引发 glibc 的检测机制触发 Aborted 信号，或导致 double free 异常。
技术分析指出，根本原因在于 QImage 的每行字节跨度（stride）可能与 sws_scale 预期的调整后的行宽不一致。例如，Qt 默认对图像行对齐到4字节或16字节边界，而 sws_scale 使用 av_image_get_linesize 计算的步长可能忽略这一对齐要求。当图像宽度不是对齐尺寸的倍数时，sws_scale 会认为目标缓冲区有足够容量，实际却因行尾额外填充像素而超出。
影响范围：广泛嵌入Qt的视频/图像应用
该漏洞影响所有通过 FFmpeg 与 Qt 协同工作的应用程序，包括但不限于：视频播放器（如基于 QtAV 的播放器）、视频编辑软件、监控系统实时画面解码渲染、医学影像处理工具等。尤其在高分辨率（如4K）或非标准像素格式（如RGB555、YUV422P）场景下，堆损坏的概率显著增加。有开发者反馈，在解码到 AV_PIX_FMT_RGB32 格式后直接调用 QImage 构造时，内存错误率超过70%。
值得注意的是，该问题并非 FFmpeg 内部 bug，而是 API 使用方与库之间关于缓冲区所有权与步长约定的冲突。FFmpeg 的 sws_scale 函数要求输出缓冲区的每行字节跨度必须与其内部计算的 linesize[0] 完全一致，而 QImage 的 bytesPerLine() 返回的数值可能在 Qt 各版本间存在差异。Qt 5.15 之前版本默认行对齐为4字节，而 Qt 6 则可能采用更严格的16字节对齐。
社区响应：临时补丁与最佳实践
在官方修复推出之前，社区已提出多重临时解决方案。最直接的方法是在调用 sws_scale 之前，手动调整 QImage 的缓冲区布局，确保 bytesPerLine 与 av_image_fill_arrays 计算出的行跨度匹配。可考虑使用 av_image_alloc 分配独立缓冲区，待 sws_scale 完成后再通过 memcpy 逐行拷贝到 QImage。另一种变通是在构造 QImage 时使用 QImage(width, height, format) 默认分配，然后调用 sws_scale 时传入 QImage::bits() 作为目标指针，但需额外设置 dstStride[0] 为 QImage::bytesPerLine()。
部分开发者建议在 sws_scale 前调用 av_image_copy 进行数据对齐检查，或直接使用 QOpenGLWidget 通过 GPU 纹理避免 CPU 内存操作。FFmpeg 开发团队已在官方 issue 跟踪中标记该问题为“使用文档不足（documentation deficiency）”，并计划在下一版增加更明确的缓冲区对齐警告。
专家提醒：慎用直接内存映射
资深多媒体框架开发者李伟表示：“许多 Qt 程序员习惯用 QImage::bits() 直接对接 C 库，以节省一次拷贝开销。但在 FFmpeg 这类对缓冲区布局有严格假设的库中，这种做法极易引发隐式内存错误。建议在不确定对齐规则时，始终使用独立缓冲区并进行拷贝。” 他强调，堆损坏问题常表现为随机崩溃，调试难度大，若无明确日志，开发者可能误以为是硬件故障或驱动问题。
截至发稿时，FFmpeg 官方尚未发布紧急补丁，但 Qt 社区已提议在 qimage.h 中添加关于行跨度对齐的文档注释。对于正在使用该技术栈的生产环境，工程师被强烈建议加强内存检测（如启用 AddressSanitizer），并在关键路径增加断言校验。这一事件再次提醒开源生态：即便成熟如 FFmpeg 与 Qt，跨库内存接口的细微差异仍是稳定性头号杀手。