Título (em português)

Sumário (em português)

Este artigo explora uma vulnerabilidade no pacote GPAC, que pode permitir a compressão de dados altamente comprimidos localmente. O código-fonte envolve a função `inflate` do componente ISOBMFF Parser, e o ataque requer acesso local.

O que é sobre

O GPAC (Grupo de Pesquisa em Áudio/Video) é um projeto de software livre para manipulação de arquivos multimedia. A vulnerabilidade descrita afeta uma parte desconhecida do arquivo `src/utils/base_encoding.c` do componente ISOBMFF Parser, que é usado para processamento de dados ISO Base Media File Format (ISO BMFF).

Explicação técnica para defensores

O ataque local envolve a execução de manipulações que podem levar a dados comprimidos altamente. O código-fonte está vulnerável à função `inflate`, que é usada para decomprimir dados. Se o tamanho do output for maior que 32 vezes o input, o programa pode parar em erro.

Código seguro para aprendizado

Aqui está um exemplo de código seguro que verifica o tamanho da saída do `inflate` e impede a compressão se o tamanho exceder 32 vezes o tamanho do input:

#include <zlib.h>

int safe_inflate(unsigned char *input, int input_len, unsigned char **output, int *output_len) {
    z_stream stream;
    int ret;

    stream.zalloc = Z_NULL;
    stream.zfree = Z_NULL;
    stream.opaque = Z_NULL;
    stream.avail_in = input_len;
    stream.next_in = input;
    stream.avail_out = 0;
    stream.next_out = NULL;

    if (inflateInit2(&stream, MAX_WBITS | 16) != Z_OK) {
        return -1; // Erro ao inicializar o decompressor
    }

    stream.avail_out = *output_len;
    stream.next_out = *output;

    ret = inflate(&stream, Z_FINISH);
    if (ret != Z_STREAM_END && ret != Z_BUF_ERROR) {
        inflateEnd(&stream);
        return -1; // Erro ao descomprimir
    }

    *output_len = stream.total_out;
    inflateEnd(&stream);

    if (*output_len > 32 * input_len) {
        // Limite excedido, parar em erro
        return -1;
    }

    return 0;
}

**Riscos de execução:** Este código é seguro para uso educacional e deve ser executado em um ambiente controlado. Ele verifica o tamanho da saída do `inflate` antes de permitir a compressão, evitando possíveis ataques de amplificação de dados.

Checklist de mitigação

1. **Verificar tamanho da saída:** Antes de descomprimir, verificar se o tamanho excede 32 vezes o tamanho do input.
2. **Aplicar patch:** A vulnerabilidade foi corrigida com a aplicação do patch `297f2d8d1f493d8b241330533cd47f7da758aeb3`.
3. **Documentação:** Adicionar documentação sobre a verificação de tamanho da saída e o uso do patch.

Referências

1. [CVE-2026-13523 - Detalle CVSS, EPSS y CISA Kev | CVE Find](https://www.cvefind.com/es/cve/CVE-2026-13523.html)
2. [GitHub Security Advisories](https://github.com/gpac/gpac/commit/297f2d8d1f493d8b241330533cd47f7da758aeb3)

Este artigo fornece uma visão geral da vulnerabilidade, sua exploração e a implementação de mitigações.