🟡 CVE-2025-55660: Medium Schwachstelle

„`html

Zusammenfassung

CVE-2025-55660 ist eine Medium-kritische Schwachstelle in GPAC MP4Box Version 2.4, die einen Stack-Overflow in der Funktion gf_opus_read_length ausnutzt. Durch das Bereitstellen einer manipulierten MP4-Datei können Angreifer einen Denial-of-Service-Zustand herbeiführen. Ein Patch ist derzeit nicht verfügbar.

Betroffene Systeme

Die Schwachstelle betrifft GPAC MP4Box in Version 2.4 und möglicherweise ältere Versionen. GPAC ist ein weit verbreitetes Multimedia-Framework, das in verschiedenen Anwendungen und Systemen zur MP4-Verarbeitung eingesetzt wird. Die genaue Betroffenheit hängt von der jeweiligen Implementierung ab.

Technische Details

Der Stack-Overflow tritt in der Datei media_tools/av_parsers.c auf. Die anfällige Funktion gf_opus_read_length validiert die Eingabelängen nicht ausreichend, wenn Opus-Audio-Frames aus MP4-Containern ausgelesen werden. Ein Angreifer kann durch Manipulation der Längenwerte in einem speziell erstellten MP4-File einen Pufferüberlauf auslösen.

Der Angriffsvektor ist lokal, was bedeutet, dass die manipulierte MP4-Datei zunächst auf das System gelangen muss. Dies kann beispielsweise durch Download, USB-Datenträger oder lokale Netzwerkfreigaben erfolgen.

Empfohlene Massnahmen

• Eingabevalidierung: Implementieren Sie strikte Längenchecks für Opus-Frame-Daten
• Update abwarten: Überwachen Sie die GPAC-Releases auf einen verfügbaren Patch
• Zugriffskontrolle: Beschränken Sie die Verarbeitung von MP4-Dateien auf vertrauenswürdige Quellen
• Sandboxing: Führen Sie MP4Box in einer isolierten Umgebung aus
• Input-Filtering: Validieren Sie MP4-Dateien vor der Verarbeitung

Bewertung

Mit einem CVSS-Wert von 5.5 liegt diese Schwachstelle im mittleren Schweregrad. Die Auswirkung beschränkt sich auf Verfügbarkeitsverluste (DoS). Da kein aktueller Patch vorliegt und der Angriffsvektor lokal ist, sollten Organisationen vorsichtig bei der Verarbeitung unbekannter MP4-Dateien sein und alternative Lösungen evaluieren.

„`