杜比解码器存在高危漏洞，可用于零点击攻击

  聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

杜比统一解码器 (Dolby Unified Decoder) 中存在一个高危漏洞，在一些情况下无需用户交互即可被用于实现远程代码执行后果。

统一解码器根据杜比数字＋ 硬件组件，用于处理 DD+、Dolby AC-4以及其它音频格式并将它们转换为可通过扬声器回放的格式。

谷歌研究员 Ivan Fratric 和 Natalie Silvanovich 发现，该解码器受一个越界读漏洞影响，可在处理演化数据时触发。Silvanovich 解释称，“该解码器将演化信息写入一个由更大结构体包含的、类似堆内存的大型连续缓冲区中，而其中某次写入的长度计算可能因整数回绕而发生溢出。” 她指出，这种情况会导致分配的缓冲区过小，并使得后续写入时的越界检查失效。她提到，“这可能造成结构体中后续成员被覆盖，包括一个在处理下一个同步帧时会被写入的指针。”

该漏洞的编号为 CVE-2025-54957（CVSS 评分为 7.0），可通过恶意音频消息触发，进而导致远程代码执行。在安卓系统上，由于所有音频消息及附件均使用杜比统一解码器在本地进行解码，因此该漏洞可在无需用户交互的情况下被远程利用。 

Silvanovich已公开了概念验证利用代码，展示了该漏洞如何在安卓设备（如 Pixel 9 和三星 S24）、以及 macOS 和 iOS 上引发进程崩溃。她提到，“我们针对安卓系统对该漏洞的可利用性进行了研究，并在运行版本号为 16 BP2A.250605.031.A2 的 Pixel 9 设备上，在 mediacodec 上下文中实现了零点击代码执行。”

谷歌 Project Zero 团队在今年 6 月向杜比实验室报告了该安全缺陷，并在 90 天披露期限到期、厂商发布修复补丁后公开了相关信息。微软将该漏洞纳入其 10 月补丁星期二更新中予以修复，并指出在 Windows 系统上要成功利用该漏洞仍需用户交互。上周，谷歌表示最新 ChromeOS 更新中已包含相关补丁。

 开源卫士试用地址：https://oss.qianxin.com/#/login

 代码卫士试用地址：https://sast.qianxin.com/#/login

---

推荐阅读

PDFium的Tiff图像解码器中存在漏洞 可导致代码执行

Karmen勒索软件暗网出售 如被发现则删除解码器

苹果零点击 RCE 漏洞最高赏金翻倍，可达500多万美元

ChatGPT 代理中的零点击漏洞可导致Gmail敏感数据被盗

WhatsApp 修复用于0day 攻击中的零点击漏洞

原文链接

https://www.bleepingcomputer.com/news/security/retail-giant-muji-halts-online-sales-after-ransomware-attack-on-supplier/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~