Уязвимость в libmodplug: исчерпание ресурсов в парсере ABC Music Format (CVE-2026-108577)
В библиотеке libmodplug до версии 0.8.9.1 включительно обнаружена уязвимость CVE-2026-108577, приводящая к исчерпанию ресурсов при обработке файлов формата ABC Music. Атака возможна удалённо: достаточно, чтобы приложение обработало специально сформированный файл. Критичность оценена как средняя (CVSS 5.3).
Подробности
Уязвимость затрагивает libmodplug вплоть до версии 0.8.9.1 включительно. Проблема локализована в функции abc_add_gchord файла src/load_abc.cpp, отвечающей за обработку аккордов в нотации ABC Music. При манипуляции входными данными возникает исчерпание ресурсов (resource consumption) — например, чрезмерное потребление памяти или процессорного времени, что может привести к зависанию или отказу в обслуживании приложения, использующего библиотеку. Согласно описанию, атака может быть инициирована удалённо. Это означает, что для эксплуатации достаточно, чтобы уязвимое приложение открыло или обработало специально подготовленный ABC-файл, полученный из внешнего источника — по сети, электронной почте или через загрузку контента. Уязвимость оценена по шкале CVSS в 5.3 балла, что соответствует среднему уровню опасности. Производитель был заблаговременно уведомлён об обнаружении проблемы, однако, по данным CVE-записи, не ответил на обращение. Следует отметить, что libmodplug встроена во множество мультимедийных приложений, плееров, конвертеров и библиотек обработки аудио, поэтому реальная поверхность атаки зависит от конкретного продукта и сценариев обработки ненадёжных файлов.Что делать
На момент публикации официальное исправление от производителя, судя по записи CVE, не выпущено, поскольку вендор не отреагировал на уведомление. В связи с этим рекомендуется: - отслеживать обновления libmodplug и информацию от мейнтейнеров дистрибутивов и зависимых проектов; - по возможности ограничить обработку ABC-файлов из ненадёжных источников, применять проверку и фильтрацию входящего контента; - рассмотреть переход на поддерживаемые форки или альтернативные библиотеки, если они доступны в используемом стеке; - внедрить контроль ресурсов (лимиты на память и время обработки) на уровне приложения, чтобы ограничить последствия исчерпания ресурсов; - при наличии — применять обновления от дистрибутивов Linux и вендоров, которые могут выпустить собственные патчи. Итог: CVE-2026-108577 — уязвимость среднего уровня в libmodplug, позволяющая удалённо вызвать исчерпание ресурсов при разборе файлов ABC Music. Из-за отсутствия ответа вендора и патча особое значение приобретают компенсирующие меры: ограничение обработки недоверенных файлов и контроль потребления ресурсов.Источник: CVE Project (cvelistV5)