CVE-2026-53423
Açıklama
membraneframework membrane_mp4_plugin bileşenindeki Sınırlandırılmamış veya Kontrol Edilmemiş Kaynak Tahsisi zafiyeti, BEAM atom tablosunun tüketilmesine neden olarak kimlik doğrulaması gerektirmeyen bir hizmet reddi (DoS) durumuna izin verir. MP4 kutu başlığı ayrıştırıcısı, her 4 baytlık kutu adını herhangi bir doğrulama yapmadan String.to_atom/1 kullanarak bir atoma dönüştürür. `lib/membrane_mp4/container/header.ex` dosyasındaki 'Elixir.Membrane.MP4.Container.Header':parse_box_name/1 fonksiyonu karşılaşılan her kutu adını stajyerleştirirken (intern), 'Elixir.Membrane.MP4.Container.Header':parse/1 girdiyi tarar. BEAM atomları hiçbir zaman çöp toplayıcı (garbage collection) tarafından temizlenmez, bu nedenle saldırgan tarafından kontrol edilen benzersiz her 4 baytlık isim kalıcı bir tahsis oluşturur. Farklı standart dışı isimlere sahip yaklaşık 1,1 milyon kutu içeren yaklaşık 8 MB boyutunda özel hazırlanmış bir MP4 dosyası, atom tablosunu (varsayılan tavan yaklaşık 1.048.576 atomdur) tüketerek tüm BEAM düğümünün durmasına ve üzerinde çalışan tüm uygulamaların kapanmasına neden olur. Bu sorun, 0.3.0 ile 0.36.7 arasındaki membrane_mp4_plugin sürümlerini etkilemektedir.
Nasıl düzeltilir
- membraneframework membrane_mp4_plugin0.36.7, 56373d1ddc86968e55fbde795c14eeba24357b57 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| membraneframework membrane_mp4_plugin | 0.3.0 ≤ v < 0.36.7, ae4bf04c393aa1562f3df3d33e20bc5cb8130de2 ≤ v < 56373d1ddc86968e55fbde795c14eeba24357b57 | 0.36.7, 56373d1ddc86968e55fbde795c14eeba24357b57 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.