JVNDB-2024-000075

ORCにおけるスタックベースのバッファオーバーフローの脆弱性

GStreamerが提供するORCは、通常、GStreamerのプラグイン開発に利用されます。ORCのorcparse.cに、スタックベースのバッファオーバーフロー（CWE-121）の脆弱性が存在します。

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。
報告者：NTTセキュリティホールディングス株式会社 川古谷　裕平 氏

GStreamer

• ORC 0.4.39より前のバージョン

ORCコンパイラを利用して開発を行う際に細工されたファイルを処理した場合、ビルド環境で任意のコードが実行される可能性があります。これにより、開発用のマシンまたはCIビルド環境が侵害される可能性があります。

[アップデートする]
開発者が提供する情報をもとに、ソフトウェアを最新版にアップデートしてください。

GStreamer

• GitLab : commit fb7db9ae: Use vasprintf() if available for error messages and otherwise vsnprintf()
• GStreamer : Library of Optimized Inner Loops Runtime Compiler
• GStreamer : Orc 0.4.39 bug-fix release

1. バッファエラー(CWE-119) [IPA評価]

1. CVE-2024-40897

1. JVN : JVN#02030803

• [2024年07月26日]
    掲載