„`html
Zusammenfassung
CVE-2025-55647 beschreibt eine Out-of-Memory-Schwachstelle in der Funktion mp4_mux_cenc_insert_pssh von GPAC MP4Box Version 2.4. Die Sicherheitslücke ermöglicht Angreifern, durch das Bereitstellen einer manipulierten MP4-Datei einen Denial-of-Service-Zustand (DoS) auszulösen und damit die Verfügbarkeit des betroffenen Systems zu beeinträchtigen.
Betroffene Systeme
Betroffen ist GPAC (General Purpose Audio Video Coding Framework) in der Version 2.4, insbesondere das Tool MP4Box. Das Framework wird häufig zur Multimedia-Verarbeitung, Video-Transcoding und MP4-Container-Manipulation eingesetzt. Systeme, auf denen MP4Box zum Verarbeiten von Benutzerdateien verwendet wird, sind gefährdet.
Technische Details
Die Schwachstelle liegt in der Datei filters/mux_isom.c der ISOM-Mux-Filterkomponente. Bei der Verarbeitung von CENC (Common Encryption) PSSH-Boxen (Protection System Specific Header) in MP4-Dateien wird unzureichend validiert, wie viel Arbeitsspeicher allokiert wird. Ein Angreifer kann eine speziell crafted MP4-Datei erstellen, die beim Parsen zu unkontrolliertem Speicherverbrauch fĂĽhrt.
Die Funktion mp4_mux_cenc_insert_pssh scheint bei der Verarbeitung der PSSH-Box-Struktur keine ausreichenden Grenzen für die Speicherallokation zu implementieren. Dies ermöglicht einen Out-of-Memory-Zustand, bei dem der verfügbare Arbeitsspeicher vollständig aufgebraucht wird.
Empfohlene Massnahmen
- Aktualisierung auf eine patched Version von GPAC durchfĂĽhren
- Input-Validierung fĂĽr MP4-Dateien implementieren
- Ressourcenlimits fĂĽr MP4Box-Prozesse setzen (RAM, CPU)
- Verarbeitung von MP4-Dateien von untrusted Quellen auf isolierten Systemen durchfĂĽhren
- Monitoring von Speicherverbrauch intensivieren
Bewertung
Schweregrad: Medium (CVSS 5.5)
Trotz des Medium-Ratings ist die praktische Gefährdung kontextabhängig. Bei automatisierter Verarbeitung von Benutzerdateien besteht erhöhtes Risiko für Service-Unterbrechungen. Ein Patch ist verfügbar und sollte zeitnah eingespielt werden.
„`