PT-2026-44494 · Unknown · Music Player Daemon

Daniele Berardinelli + 1 · Publicado 2026-05-28 · Atualizado 2026-05-28 · CVE-2026-49127

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.8

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Music Player Daemon (MPD) versões anteriores a 0.24.11

Descrição Um estouro de buffer de pilha (stack buffer overflow) existe na função pcm unpack 24be() em src/pcm/Pack.cxx. Este problema permite que atacantes não autenticados corrompam a memória da pilha ao disparar uma gravação off-by-one no plugin decodificador PCM. Ao emitir dois comandos MPD que referenciam uma fonte de áudio HTTP maliciosa, um atacante pode fazer com que o loop de descompactação grave 1366 entradas em um buffer de 1365 entradas. Esse processo sobrescreve quatro bytes além do limite da matriz com três bytes controlados pelo atacante provenientes de um corpo de resposta HTTP, o que pode resultar na terminação do daemon ou potencial execução de código.

Recomendações Atualize para a versão 0.24.11 ou posterior.

Exploit

Correção

Enumeração de Fraquezas

CWE-193

Identificadores relacionados

CVE-2026-49127

Produtos afetados

Music Player Daemon

Referências · 15

• 🔥 https://mstreet97.github.io/security-research/opensource/vulnerability-disclosure/cybersecurity/cve/2026/05/25/Four_Bugs_Reachable_nc.html · Exploit
• https://github.com/MusicPlayerDaemon/MPD/releases/tag/v0.24.11 · Nota
• https://github.com/MusicPlayerDaemon/MPD/issues/2485 · Nota
• https://github.com/MusicPlayerDaemon/MPD/commit/59911028c020f84bc2e669da6a1ef88121301274 · Correção
• https://security-tracker.debian.org/tracker/CVE-2026-49127 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-49127 · Aviso do Fabricante
• https://raw.githubusercontent.com/MusicPlayerDaemon/MPD/v0.24.11/NEWS · Nota
• https://ubuntu.com/security/CVE-2026-49127 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-49127 · Nota de Segurança
• https://t.me/cveNotify/165110 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-49127 · Nota de Segurança
• https://twitter.com/CVEnew/status/2060091935373549793 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-49127 · Aviso do Fabricante
• https://vulncheck.com/advisories/music-player-daemon-stack-buffer-overflow-via-pcm-unpack-24be · Nota
• https://musicpd.org/news/2026/05/mpd-0-24-11-released · Correção