CVE-2023-46932

Heap Buffer Overflow w GPAC/MP4Box — RCE i DoS przez klasę str2ulong

CVSS 9.8v3.1pub. 2023-12-09upd. 2025-05-27

Podatność typu heap buffer overflow w narzędziu GPAC MP4Box umożliwia atakującemu zdalne wykonanie kodu (RCE) oraz wywołanie odmowy usługi (DoS). Luka jest krytyczna ze względu na brak wymagań dotyczących uwierzytelnienia oraz możliwość pełnego przejęcia kontroli nad systemem.

▸ Pokaż oryginał (EN)

Heap Buffer Overflow vulnerability in GPAC version 2.3-DEV-rev617-g671976fcc-master, allows attackers to execute arbitrary code and cause a denial of service (DoS) via str2ulong class in src/media_tools/avilib.c in gpac/MP4Box.

🤖 Analiza AI

Jak działa

Podatność występuje w funkcji str2ulong w pliku src/media_tools/avilib.c w projekcie GPAC. Błąd polega na nieprawidłowej obsłudze zapisu poza przydzielonym obszarem sterty (heap buffer overflow — CWE-787). Atakujący może dostarczyć specjalnie spreparowany plik multimedialny, którego przetworzenie przez MP4Box wywołuje przepełnienie bufora na stercie. Skutkiem może być nadpisanie krytycznych struktur pamięci, co prowadzi do wykonania dowolnego kodu lub destabilizacji procesu.

Skutki

Atakujący może wykonać dowolny kod w kontekście procesu przetwarzającego plik (RCE) lub spowodować awarię aplikacji i odmowę usługi (DoS). W przypadku skutecznego exploitu możliwe jest pełne przejęcie kontroli nad systemem — naruszenie poufności, integralności i dostępności.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie oficjalnego repozytorium GPAC na GitHub (https://github.com/gpac/gpac) i aktualizację do wersji zawierającej poprawkę zgłoszoną w issue #2669. Do czasu aktualizacji należy unikać przetwarzania niezaufanych plików multimedialnych za pomocą MP4Box oraz ograniczyć dostęp do narzędzia tylko do zaufanych użytkowników.