music-metadataは、オーディオおよびビデオメディアファイルのメタデータを解析するツールです。11.14.0以降の公開開発版において、MP4のstsdサンプル記述解析器に開発版の不具合があり、攻撃者が制御できるサンプルエントリーのサイズをゼロにすることで、StsdAtom.getカーソルが前進するのを防ぎ、同時に攻撃者が制御できるエントリー数を維持することで、同期ループを継続させることができます。悪意のあるMP4形式の入力データを使用すると、Node.jsのイベントループがブロックされ、サンプル記述テーブルが肥大化し、プロセスが終了するか、メモリが枯渇するまで続行する可能性があります。この脆弱な変更は、公開されているメインブランチに存在していましたが、music-metadataの11.14.0以前のバージョンや、npmでリリースされたバージョンには含まれていませんでした。バージョン11.16.0でこの問題が修正されています。
CVSS 3.1: 7.5 (高) (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)