Vulnérabilité dans membrane_mp4_plugin (CVE-2026-53423)
Résumé
Vulnérabilité dans membrane_mp4_plugin (CVE-2026-53423). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 0.36.7 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
membrane_mp4_plugin interns every 4-byte MP4 box name as a BEAM atom while parsing container headers, with no validation against an allow-list. Any code path that calls Membrane.MP4.Container.parse/1 (or the bang variant) on attacker-controlled MP4 bytes can be made to exhaust the BEAM atom table, which is uncapped at the source but bounded by the runtime ceiling (around 1,048,576 atoms) and never garbage-collected. Once the ceiling is hit, the entire BEAM node aborts.
Details
The MP4 container parser walks the input stream box-by-box. For each box, Membrane.MP4.Container.Header.parse/1 in lib/membrane_mp4/container/header.ex extracts the 4-byte name field and delegates to the private helper parse_box_name/1, which trims trailing spaces and passes the bytes through String.to_atom/1. Because String.to_atom/1 creates a new atom unconditionally, every distinct attacker-chosen 4-byte sequence becomes a permanent allocation in the global atom table. Atoms are not subject to garbage collection, so unique names accumulate for the lifetime of the node.
The fix replaces the unsafe interning with String.to_existing_atom/1 and treats unknown names as the :unknown atom downstream (with related plumbing in parse_helper.ex, serialize_helper.ex, and the ISOM/CMAF demuxer engines so the new error variant flows through cleanly).
PoC
- Generate an MP4-shaped payload of roughly 1.1 million minimal box headers, each 8 bytes long (4-byte size of 8,…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-53423 a été découverte dans membrane_mp4_plugin.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour membrane_mp4_plugin vers 0.36.7 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « membrane_mp4_plugin CVE-2026-53423 » sur le site de l'éditeur.
CVE-2026-53423 (membrane_mp4_plugin) — CWE-770
Correctif : 0.36.7 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-770) affecte membrane_mp4_plugin.
Consultez l'avis de l'éditeur pour les versions affectées de membrane_mp4_plugin.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 0.36.7.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'membrane_mp4_plugin' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
membrane_mp4_pluginを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade membrane_mp4_plugin to 0.36.7ステージング環境で 0.36.7 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package hex.pm
- package github.com
- web cna.erlef.org
- web github.com
- web github.com
- web osv.dev
- web github.com