Cisco Talos はこのほど、GPAC Project on Advanced Content に複数の整数オーバーフローの脆弱性を発見しました。これらの脆弱性がエクスプロイトされると、メモリ破損につながる危険性があります。
GPAC Project on Advanced Content は、MPEG-4 システムを標準とするオープンソースのクロスプラットフォーム ライブラリです。メディア再生、ベクターグラフィックス、3D レンダリング用のツールを提供します。MP4Box ツールが付属しており、複数の形式でのメディアコンテナのエンコードとデコードをサポートしています。
TALOS-2021-1297
（CVE-2021-21834 ～ CVE-2021-21852）、TALOS-2021-1298（CVE-2021-21859 ～ CVE-2021-21862）、TALOS-2021-1299（CVE-2021-21853 ～ CVE-2021-21858）では、攻撃者がアプリケーションのメモリを破損させる危険性があります。攻撃者は、細工された MPEG-4 入力を標的に送信することにより、これらの脆弱性をエクスプロイトする可能性があります。この結果、加算演算がチェックされないことが原因で整数オーバーフローが引き起こされ、最終的にヒープベースのバッファオーバーフローが発生し、メモリ破損につながる危険性があります。
Cisco Talos はシスコの脆弱性開示方針に準拠して GPAC Project と協力し、今回の脆弱性が解決されたこと、および影響を受けた利用者向けにアップデートが提供されていることを確認しています。
GPAC Project Advanced Content commit a8a8d412dabcb129e695c3e7d861fcc81f608304 およびバージョン 1.0.1 を更新することをお勧めします。Talos はこれらのバージョンが今回の脆弱性の影響を受けることをテストして確認済みです。
今回の脆弱性のエクスプロイトは、SNORTⓇ ルール（57607 ～ 57618、57623 ～ 57630、57635 ～ 57672）で検出できます。今後、脆弱性に関する新たな情報が追加されるまでの間は、ルールが追加されたり、現行のルールが変更されたりする場合がありますのでご注意ください。最新のルールの詳細については、Firepower Management Center または Snort.org を参照してください。
本稿は 2021 年 08 月 13 日に Talos Group
Authors