CVE-2025-55640: переполнение буфера в GPAC MP4Box позволяет вызвать отказ в обслуживании
В компоненте GPAC MP4Box v2.4 выявлена уязвимость, связанная с переполнением буфера в куче. Она получила идентификатор CVE-2025-55640 и позволяет злоумышленнику вызвать отказ в обслуживании (Denial of Service, DoS) при обработке специально подготовленного MP4-файла.
Подробности
Уязвимость локализована в функции stbl_AddSize файла isomedia/stbl_write.c продукта GPAC MP4Box. Затрагивается версия 2.4. При передаче сформированного определённым образом MP4-файла возникает переполнение буфера в куче (heap buffer overflow), что приводит к нарушению работы приложения и, как следствие, к отказу в обслуживании.
Тип уязвимости — переполнение буфера в куче (CWE-122). Вектор атаки связан с обработкой входного файла: для эксплуатации достаточно, чтобы уязвимое приложение обработало вредоносный MP4-файл. Значение CVSS в записи CVE не указано, поэтому количественную оценку критичности по данной записи привести нельзя.
Отметим, что подобные уязвимости в парсерах медиаконтейнеров особенно опасны в сценариях, где MP4Box используется для автоматизированной пакетной обработки файлов из недоверенных источников — например, в сервисах загрузки и конвертации медиа.
Что делать
Официальные рекомендации в записи CVE не приведены, поэтому следует придерживаться общих мер:
- Отслеживать выпуск обновлённой версии GPAC MP4Box и выполнить обновление после её появления; проверять информацию у поставщика продукта.
- До выхода исправления по возможности ограничить обработку MP4-файлов, поступающих из недоверенных источников, и не передавать такие файлы в MP4Box без предварительной проверки.
- Изолировать процессы обработки медиафайлов (например, запускать их в контейнерах или с минимальными привилегиями), чтобы снизить последствия возможного сбоя.
- Ограничить доступ к инструменту и журналировать операции обработки файлов для своевременного выявления аномалий.
Уязвимость CVE-2025-55640 затрагивает GPAC MP4Box v2.4 и позволяет вызвать отказ в обслуживании через специально сформированный MP4-файл из-за переполнения буфера в куче в функции stbl_AddSize. Ключевая мера защиты — своевременное обновление продукта и осторожность при обработке файлов из недоверенных источников.
Источник: CVE Project (cvelistV5)