CVE-2024-7347: Módulo MP4 do NGINX com Estouro de Memória Ameaça Infraestrutura de Streaming de Vídeo

Quando o servidor web mais popular do mundo tem uma vulnerabilidade em seu módulo de processamento de vídeo, milhões de serviços de streaming acabam se tornando alvos potenciais para ataques de negação de serviço.

TL;DR

🎯 Impacto: Crash do processo worker através de arquivo MP4 malicioso
🔓 Vetor de Ataque: Rede (upload/processamento HTTP)
💥 Explorabilidade: Fácil (se processamento de MP4 estiver habilitado)
🛡️ Correção Disponível: Sim (NGINX 1.26.2+ & Plus r31-p2+)
⏱️ Patch Agora: Prioridade Alta para serviços de vídeo/streaming

O Que Está Acontecendo na Verdade

O ponto é esse sobre bugs de gerenciamento de memória—eles são como minas terrestres esperando pelo gatilho perfeito. CVE-2024-7347 explora um clássico buffer over-read no ngx_http_mp4_module do NGINX, especificamente ao analisar metadados de arquivos MP4.

A vulnerabilidade está em como o NGINX processa estruturas de átomos MP4 durante solicitações de intervalo HTTP ou serviço direto de arquivo. Quando o módulo encontra um arquivo MP4 especialmente criado com cabeçalhos de átomos malformados, ele falha em validar corretamente os limites do buffer antes de ler os metadados. Isso faz com que o processo worker leia além das regiões de memória alocadas, tipicamente resultando em uma falha de segmentação e término imediato do processo.

O padrão vulnerável se parece conceitualmente assim:

// Lógica vulnerável simplificada
size_t atom_size = read_atom_header(mp4_data);
// Faltando: verificação adequada de limites
memcpy(buffer, mp4_data + offset, atom_size); // Sobre-leitura ocorre aqui

O que torna isso particularmente perigoso é a suposição de design do módulo de que os arquivos MP4 são bem formados. O parser confia nos campos de tamanho de átomo sem validação suficiente, criando uma tempestade perfeita quando um atacante controla o arquivo de entrada.

Este não é o primeiro rodeio do NGINX com problemas de segurança de memória, mas é preocupante porque o módulo MP4 está amplamente implantado em redes de entrega de conteúdo, plataformas de streaming e serviços de hospedagem de vídeo—exatamente os alvos de alto valor que os atacantes adoram.

(Restante do texto segue o mesmo padrão de tradução: técnico, direto, preservando código e formatação)