🇰🇷 한글 설명
tinytag는 오디오 파일 메타데이터를 읽는 Python 라이브러리입니다. 버전 2.0.0부터 2.3.0 사이에서 크기가 0인 서브-아톰을 포함한 M4A 파일을 처리할 때 메타데이터 파서가 입력을 계속 읽지 못하고 무한 루프에 빠지는 취약점이 존재합니다. 이로 인해 해당 파일을 읽는 프로그램의 서비스 거부(DoS)가 발생할 수 있습니다.
💡 쉬운 설명
특수하게 조작된 음악 파일(M4A)을 열려고 하면 프로그램이 멈추거나 무한히 작동하여 컴퓨터 자원을 모두 써버리는 문제입니다. 이로 인해 프로그램이 응답하지 않게 됩니다.
🇺🇸 원문 (English)
tinytag is a Python library for reading audio file metadata. From 2.0.0 until 2.3.0, an M4A file containing a sub-atom with a size of zero inside a ---- atom can cause the metadata parser to stop advancing through the input. The custom-field atom traversal repeatedly processes the malformed location, causing an infinite loop and denying service to a program that reads the crafted file. This issue is fixed in version 2.3.0.
📍 영향받는 시스템
tinytag library (versions 2.0.0 to 2.3.0)
⚔️ 공격 벡터
조작된 M4A 파일을 프로그램이 읽도록 유도하여 무한 루프 발생 유도
🛡️ 대응 방법
tinytag 라이브러리를 2.3.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 2.3.0 미만(예: 2.2.0)이면 취약한 상태입니다.
pip show tinytag | grep Version