music-metadataは、オーディオおよびビデオメディアファイルのメタデータを解析するツールです。バージョン11.16.0以前のバージョンでは、MP4の解析機能が、攻撃者によって制御される64ビットの拡張アトムサイズを受け入れ、それをJavaScriptの数値に変換し、その結果得られたペイロードの長さを、アトム固有のreadToken呼び出しに使用していました。この際、アトムが親要素または利用可能な入力範囲内に収まっているかどうかを検証する前に処理が行われていました。非常に小さなMP4形式のファイルの場合、この処理によって、mvhd、stsd、stsz、dateなど、特定の種類のデータを含むアトムのペイロード解析において、想定よりも大きなデータが読み込まれる可能性があります。これにより、大量のメモリ割り当ての試行や、プロセスの失敗が発生する可能性があります。したがって、信頼できないMP4形式のメディアファイルを解析するアプリケーションは、サービス拒否の状態になる可能性があります。この問題は、バージョン11.16.0で修正されました。
CVSS 3.1: 7.5 (高) (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)