BDU:2026-00596

Опубликовано: 22 дек. 2025

Источник: fstec

CVSS3: 6.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость функции avi_parse_input_file() мультимедийной платформы GPAC связана с выходом операции за границы буфера в памяти при обработке файлов формата avi. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Gpac

Версия ПО

2.4.0 (Gpac)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Компенсирующие меры:

1. Проверьте значения wLongsPerEntry в SuperIndex:

Для OpenDML SuperIndex записи занимают 16 байт (4 DWORD). Отклоните файлы, где wLongsPerEntry != 4 (или, по крайней мере < 4, ).

2. Добавьте проверки границ, гарантирующие indx наличие достаточного количества оставшихся байтов в блоке данных nEntriesInUse * 16.

Выделение памяти производится с использованием реального размера структуры записи ( nEntriesInUse * sizeof(entry)), а не wLongsPerEntry.

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

https://github.com/zakkanijia/POC/blob/main/gpac_avi/GPAC_AVI_indx_heap_overflow.md

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-70299
CVE

EPSS

Процентиль: 14%

0.00046

Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2025-70299

CVSS3: 6.5

ubuntu

21 день назад

A heap overflow in the avi_parse_input_file() function of GPAC v2.4.0 allows attackers to cause a Denial of Service (DoS) via a crafted AVI file.

CVE-2025-70299

CVSS3: 6.5

nvd

21 день назад

A heap overflow in the avi_parse_input_file() function of GPAC v2.4.0 allows attackers to cause a Denial of Service (DoS) via a crafted AVI file.

CVE-2025-70299

CVSS3: 6.5

debian

21 день назад

A heap overflow in the avi_parse_input_file() function of GPAC v2.4.0 ...

GHSA-rcx9-rrrc-j64v

CVSS3: 6.5

github

21 день назад

A heap overflow in the avi_parse_input_file() function of GPAC v2.4.0 allows attackers to cause a Denial of Service (DoS) via a crafted AVI file.

EPSS

Процентиль: 14%

0.00046

Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2