Nothings stb stb_vorbis.c start_decoder आउट-ऑफ़-बाउंड्स राइट

stb लाइब्रेरी में एक महत्वपूर्ण सुरक्षा भेद्यता (vulnerability) खोजी गई है, विशेष रूप से stbvorbis.c फ़ाइल में startdecoder फ़ंक्शन में, संस्करण 1.22 तक प्रभावित करता है। यह भेद्यता (vulnerability) आउट-ऑफ़-बाउंड्स राइट (out-of-bounds write) की अनुमति देती है, जिससे मनमाना कोड निष्पादन (arbitrary code execution) या सेवा से इनकार (denial of service) हो सकता है। भेद्यता (vulnerability) की गंभीरता को CVSS 6.3 के रूप में रेट किया गया है। चिंताजनक बात यह है कि इस भेद्यता (vulnerability) के लिए एक शोषण (exploit) सार्वजनिक रूप से जारी किया गया है, जिससे हमलों का जोखिम काफी बढ़ गया है। इस भेद्यता (vulnerability) का उपयोग दूर से किया जा सकता है, जिससे इसका संभावित प्रभाव उन विभिन्न प्रणालियों और अनुप्रयोगों पर बढ़ जाता है जो stb का उपयोग करते हैं। इस भेद्यता (vulnerability) के बारे में शुरुआती प्रकटीकरणों के लिए विक्रेता की प्रतिक्रिया की कमी विशेष रूप से चिंताजनक है, जो समय पर शमन (mitigation) प्रयासों को बाधित करती है।

Applications that utilize Nothings stb for decoding Vorbis audio files are at risk. This includes multimedia players, audio processing tools, and any software that integrates stb for audio playback. Shared hosting environments where multiple applications share the same stb library are particularly vulnerable, as a compromise in one application could affect others.

• c/binary analysis: Examine binaries using stb for potential memory corruption patterns around the start_decoder function. Use tools like Valgrind or AddressSanitizer to detect out-of-bounds writes during runtime. • file integrity monitoring: Monitor for unexpected modifications to stb_vorbis.c or related libraries. • network traffic analysis: Look for unusual network requests containing potentially malicious media files. • code review: Review applications using Nothings stb for proper input validation and error handling related to media file parsing.

1. 2026-04-02Disclosure

   Public Disclosure

2. 2026-04-02PoC

   Exploit Released

1. आरक्षित2026-04-01
2. प्रकाशित2026-04-02
3. EPSS अद्यतन2026-04-09

विक्रेता से फिक्स (fix) की कमी को देखते हुए, तत्काल शमन (mitigation) में 1.22 से पहले के stb संस्करणों के उपयोग से बचना शामिल है। यदि stb का उपयोग अपरिहार्य है, तो start_decoder फ़ंक्शन के लिए इनपुट डेटा के लिए सख्त इनपुट सत्यापन जैसे अतिरिक्त सुरक्षा उपाय लागू करने की सिफारिश की जाती है। इसमें इनपुट डेटा के आकार को सीमित करना और डेटा अखंडता (data integrity) को सत्यापित करना शामिल हो सकता है। इसके अलावा, शोषण (exploit) के संकेतों के लिए प्रभावित प्रणालियों की बारीकी से निगरानी करें। फिक्स किए गए stb संस्करण में अपग्रेड करना अंतिम समाधान है, लेकिन जब तक यह उपलब्ध नहीं हो जाता, तब तक ये उपाय जोखिम को कम करने में मदद कर सकते हैं। उपयोगकर्ताओं और डेवलपर्स को इस भेद्यता (vulnerability) के बारे में पता होना चाहिए और अपने सिस्टम की सुरक्षा के लिए आवश्यक कदम उठाने चाहिए।