Exiv2 has a denial of service due to unbounded recursion in QuickTimeVideo::multipleEntriesDecoder
Impact
A denial-of-service was found in Exiv2 version v0.28.1: an unbounded recursion can cause Exiv2 to crash by exhausting the stack. The vulnerable function, QuickTimeVideo::multipleEntriesDecoder, was new in v0.28.0 (see https://github.com/Exiv2/exiv2/pull/2337), so Exiv2 versions before v0.28 are not affected. Exiv2 is a command-line utility and C++ library for reading, writing, deleting, and modifying the metadata of image files. The denial-of-service is triggered when Exiv2 is used to read the metadata of a crafted video file.
Patches
The bug is fixed in version v0.28.2.
For more information
Please see our security policy for information about Exiv2 security.
Credit
This bug was found by OSS-Fuzz.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | exiv2 | >= 0.16.0, < 0.16.1 | 0.16.1 |
Referencias
- Vector CVSS
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H- Debilidad (CWE)
CWE-400, CWE-674- Plataforma
- Python (PyPI)
- Paquete
exiv2- Publicada
- 12.02.2024
- Actualizado
- 11.10.2026 15:17
Fuentes y licencias
OSV / GitHub Advisory Database - PYSEC-2024-107 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-crmj-qh74-2r36 - CC BY 4.0
Historial de vulnerabilidades: exiv2
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 15
- Primera → última
- 05.2017 08.2025
- Sin corrección
- 12
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 3
- Media 10
- Baja 2
Divulgaciones por año
- 2017: 1
- 2018: 4
- 2019: 1
- 2020: 0
- 2021: 2
- 2022: 0
- 2023: 2
- 2024: 2
- 2025: 3
- 2026: 0
-
Exiv2 has a denial of service due to unbounded recursion in QuickTimeVideo::multipleEntriesDecoder esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.