🟡 CVE-2025-55663: Medium Schwachstelle

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2025-55663 ist eine Segmentierungsverletzung (Segmentation Fault) in der Funktion Track_SetStreamDescriptor der Datei isomedia/track.c des GPAC MP4Box in Version 2.4. Die Schwachstelle ermöglicht es Angreifern, einen Denial-of-Service-Zustand auszulösen, indem eine speziell manipulierte MP4-Datei bereitgestellt wird. Mit einem CVSS-Score von 5.5 wird die Lücke als mittelschwerwiegend eingestuft.

Betroffene Systeme

Die Schwachstelle betrifft GPAC MP4Box in Version 2.4. Weitere Versionen wurden nicht explizit dokumentiert. Systeme, die GPAC zur Verarbeitung von MP4-Mediendateien verwenden, sind potenziell gefährdet. Dies umfasst Medienserver, Transcodierungslösungen und Mediaverarbeitungspipelines, die auf GPAC basieren.

Technische Details

Die Schwachstelle liegt in der Funktion Track_SetStreamDescriptor, die für die Verarbeitung von Stream-Deskriptoren in MP4-Dateien zuständig ist. Ein fehlerhafter Speicherzugriff führt zu einer Segmentierungsverletzung, wenn eine manipulierte MP4-Datei mit ungültigen oder unerwarteten Deskriptor-Strukturen verarbeitet wird.

Der Angriffsvektor ist lokal, was bedeutet, dass ein Angreifer physischen oder logischen Zugriff auf das betroffene System haben muss, um die manipulierte Datei zu laden. Die Ausführung erfolgt typischerweise beim Parsing der MP4-Metadaten durch GPAC.

Empfohlene Massnahmen

• Update durchführen: Sobald ein Patch verfügbar ist, sollte GPAC MP4Box auf eine gepatchte Version aktualisiert werden
• Eingabevalidierung: Implementieren Sie strikte Validierung von MP4-Dateien vor der Verarbeitung
• Zugriffsbeschränkung: Beschränken Sie den Zugriff auf Systeme mit GPAC auf vertrauenswürdige Quellen
• Sandboxing: Führen Sie MP4-Verarbeitung in isolierten Umgebungen durch

Bewertung

Mit einem CVSS-Score von 5.5 und lokalem Angriffsvektor bietet diese Lücke moderates Risikopotenzial. Die fehlende Verfügbarkeit eines Patches erhöht den Handlungsbedarf. Organisationen sollten ihre GPAC-Deployments überprüfen und entsprechende Schutzmassnahmen implementieren.

„`