Nothings stb stb_vorbis.c setup_free 资源分配

在 Nothings stb 的 1.22 版本及更早版本中发现了一个漏洞，具体位于 stbvorbis.c 文件的 setupfree 函数。此漏洞允许过度分配资源，可能导致拒绝服务（DoS）状况，或在更复杂的场景下，导致任意代码执行。漏洞的远程利用意味着攻击者无需访问受影响的系统即可利用此漏洞。公开可用的有效漏洞利用程序显著增加了风险，因为它便于恶意行为者使用。供应商对早期漏洞披露通知的缺乏响应令人担忧，表明没有提供官方修复程序。

Applications and systems that utilize Nothings stb library versions 1.0 through 1.22 are at risk. This includes multimedia players, embedded systems, and any software that processes audio files using this library. Developers who have integrated Nothings stb into their projects should prioritize upgrading or implementing mitigation strategies.

• c/generic: Monitor memory usage for sudden spikes, especially during media processing. Use tools like top or htop to observe resource consumption. • c/generic: Examine application logs for errors related to memory allocation or resource exhaustion. • c/generic: Static analysis of the stbvorbis.c file for the vulnerable setupfree function. Look for calls to allocation functions with potentially unbounded arguments.

1. 2026-04-02Disclosure

   disclosure

1. 已保留2026-04-01
2. 发布日期2026-04-02
3. EPSS 更新日期2026-04-09

由于供应商缺乏响应，因此减轻此漏洞需要积极主动的方法。我们强烈建议尽快升级到 stb 库的更高版本。在此期间，可以实施缓解措施，例如限制 Vorbis 解码函数分配的资源，监控内存使用情况，并应用防火墙规则以限制对使用 stb 的服务的远程访问。此外，应执行代码分析以识别和更正 setup_free 函数的任何易受攻击的使用。将最小权限原则应用于系统资源访问也可以帮助减少潜在漏洞的影响。