🇰🇷 한글 설명
music-metadata의 Matroska 및 WebM EBML 파서에서 VINT 요소 길이를 검증하기 전에 메모리를 할당하는 취약점이 발견되었습니다. 공격자가 조작된 WebM, MKV 또는 MKA 파일을 제공할 경우 과도한 메모리 할당으로 인한 서비스 거부(DoS) 또는 Node.js 환경에서 치명적인 오류가 발생할 수 있습니다.
💡 쉬운 설명
특수하게 제작된 음악이나 영상 파일을 재생하려고 할 때, 프로그램이 감당할 수 없는 엄청난 양의 메모리를 사용하게 만들어 컴퓨터를 멈추게 하거나 강제로 종료시키는 공격입니다.
🇺🇸 원문 (English)
music-metadata is a metadata parser for audio and video media files. Prior to 11.16.0, the Matroska and WebM EBML parser decodes an attacker-controlled VINT element length and uses it for string-token or Uint8Array allocation before confirming that the leaf fits within its parent or available input. Crafted WebM, MKV, or MKA inputs can cause disproportionate allocations, out-of-memory denial of service, or, for a demonstrated parseFile path on Node.js 26.7.0, an uncatchable V8 fatal abort. The exact failure mode depends on the tokenizer, parser API, and runtime, but the affected leaf-length validation flaw is shared and has availability impact only. This issue is fixed in version 11.16.0.
📍 영향받는 시스템
music-metadata 11.16.0 미만 버전
⚔️ 공격 벡터
조작된 WebM, MKV 또는 MKA 미디어 파일 업로드 또는 처리
🛡️ 대응 방법
music-metadata를 11.16.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 11.16.0보다 낮은지 확인하십시오.