CVE-2025-55639
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W bibliotece GPAC MP4Box w wersji 2.4 wykryto podatność polegającą na dereferencji wskaźnika NULL w funkcji gf_isom_add_track_kind() w pliku isomedia/isom_write.c. Atakujący może wykorzystać specjalnie spreparowany plik MP4 do wywołania błędu i spowodowania odmowy usługi (DoS).
Ocena ryzyka
Ryzyko polega na możliwości zdalnego przerwania działania aplikacji korzystającej z GPAC MP4Box poprzez dostarczenie złośliwego pliku MP4, co może prowadzić do niedostępności usługi dla użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację GPAC MP4Box do najnowszej dostępnej wersji, która zawiera poprawkę dla tej podatności. Do czasu aktualizacji należy unikać przetwarzania niezaufanych plików MP4.
Inne podatności w GPAC MP4Box
Zobacz wszystkie- CVE-2025-60465Średnie
W bibliotece GPAC/MP4Box przed wersją 26.02.0 wykryto podatność use-after-free w funkcji gf_filter_pid_inst_swap. Atakujący może dostarczyć spreparowany plik multimedialny, powodując awarię i odmowę usługi (DoS).
- CVE-2025-60464Wysokie
W bibliotece GPAC/MP4Box przed wersją 26.02.0 wykryto podatność use-after-free w funkcji gf_sei_load_from_state_internal w pliku /filters/sei_load.c. Atakujący może wykorzystać specjalnie spreparowany plik MPEG-2 TS, aby doprowadzić do odmowy usługi (DoS).
- CVE-2025-60473Średnie
W bibliotece GPAC/MP4Box przed wersją 26.02.0 wykryto podatność polegającą na dereferencji wskaźnika NULL w funkcji gf_filter_in_parent_chain. Atakujący może spowodować odmowę usługi (DoS) poprzez dostarczenie spreparowanego pliku.
- CVE-2025-60466Średnie
W bibliotece GPAC/MP4Box przed wersją 26.02.0 wykryto podatność use-after-free w funkcji gf_filter_pid_get_packet w pliku filter_core/filter_pid.c. Atakujący może wykorzystać specjalnie spreparowany plik multimedialny, aby doprowadzić do awarii aplikacji (odmowa usługi).
- CVE-2025-60474Wysokie
Podatność przepełnienia bufora w funkcji gf_media_import w bibliotece GPAC/MP4Box przed wersją 26.02.0 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego pliku wejściowego.
- CVE-2025-55663Średnie
W funkcji Track_SetStreamDescriptor w GPAC MP4Box v2.4 występuje naruszenie segmentacji, które pozwala atakującym na wywołanie ataku typu Denial of Service (DoS) poprzez dostarczenie spreparowanego pliku MP4.
- CVE-2025-55661Średnie
W komponentach parsera strumieni audio Opus w GPAC MP4Box v2.4 występuje przepełnienie bufora na stercie, które może być wykorzystane przez atakujących do wywołania Denial of Service (DoS) poprzez dostarczenie spreparowanego pliku MP4.
- CVE-2025-55660Średnie
W funkcji gf_opus_read_length w GPAC MP4Box v2.4 występuje przepełnienie stosu, które pozwala atakującym na wywołanie Denial of Service (DoS) poprzez dostarczenie spreparowanego pliku MP4.
- CVE-2025-55652Średnie
W funkcji gf_isom_vp_config_new w GPAC MP4Box v2.4 występuje przepełnienie bufora na stercie, które może być wykorzystane przez atakujących do wywołania Denial of Service (DoS) poprzez dostarczenie spreparowanego pliku MP4.
- CVE-2025-55650Średnie
W funkcji gf_node_get_tag w GPAC MP4Box v2.4 występuje podatność typu use-after-free w stercie, która pozwala atakującym na spowodowanie Denial of Service (DoS) poprzez dostarczenie spreparowanego pliku MP4.
Oryginalny opis (angielski, źródło NVD)
GPAC MP4Box v2.4 was discovered to contain a NULL pointer dereference in the gf_isom_add_track_kind() function at isomedia/isom_write.c. This vulnerability allows attackers to cause a Denial of Service (DoS) via a crafted MP4 file.