CVE-2020-37000: Estouro de Buffer na Pilha no Free MP3 CD Ripper 2.8

Visão geral

A CVE-2020-37000 afeta o Free MP3 CD Ripper versão 2.8. O registro descreve um estouro de buffer na pilha (CWE-121) que pode ser acionado por um arquivo WAV malicioso com carga útil superdimensionada. A CNA é a VulnCheck, e o registro no NVD foi publicado em 29/01/2026 com status Deferred.

Impacto

A descrição da CNA indica que um atacante remoto poderia executar código arbitrário em um sistema Windows vulnerável. O vetor CVSS 3.1 é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que corresponde a um problema acessível pela rede, sem necessidade de privilégios ou interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. A mesma CNA também atribui CVSS 4.0 de 8.4.

Os impactos de confidencialidade, integridade e disponibilidade são classificados como Altos no vetor CVSS 3.1.
A consequência declarada na descrição é a execução de código.

Produtos e versões afetadas

O Free MP3 CD Ripper 2.8 é a única versão identificada no registro.
A lista de versões afetadas do registro está vazia, portanto a faixa completa de versões afetadas é desconhecida.
Nenhuma versão corrigida consta no registro. Isso não significa que não exista correção; a ausência de dados é desconhecida.

Status de exploração

O registro não consta no catálogo KEV da CISA, portanto nenhuma exploração ativa é confirmada pelas fontes consultadas. O registro referencia uma entrada do exploit-db, o que indica a existência de referência pública a um exploit, mas isso não confirma exploração no mundo real. Dados do EPSS não estão disponíveis no registro.

Correção e mitigação

Verifique o site do fornecedor referenciado no registro em busca de versão atualizada ou comunicado oficial. Nenhuma versão corrigida é confirmada pelas fontes.
Caso não haja atualização, considere remover ou deixar de usar o software afetado em sistemas expostos a arquivos não confiáveis.
Trate arquivos WAV e outras mídias de origem desconhecida como não confiáveis e restrinja os locais onde podem ser processados.
Aplique controles padrão de endurecimento do Windows e de proteção de endpoints para limitar o impacto de execução de código inesperada.

Orientações de detecção

Monitore instâncias inesperadas do aplicativo processando arquivos de origem externa ou desconhecida.
Revise os logs de endpoints em busca de travamentos ou processos filhos anormais iniciados pela aplicação.
Mapeie os sistemas que possuem o Free MP3 CD Ripper instalado, incluindo a versão 2.8.

Limitações das informações disponíveis

O registro não traz versão corrigida confirmada, lista completa de versões afetadas, dados de KEV ou EPSS, nem dados de SSVC. O campo de título estava vazio e foi redigido a partir do conteúdo do registro. O status da fonte é Deferred, então as informações podem mudar à medida que as fontes forem atualizadas.

Perguntas frequentes

O que é a CVE-2020-37000?

É um estouro de buffer na pilha no Free MP3 CD Ripper 2.8 que, segundo o registro, pode ser acionado por um arquivo WAV malicioso para executar código arbitrário.

Qual a gravidade desta vulnerabilidade?

A CNA VulnCheck atribui CVSS 3.1 de 9.8 (Crítica) e CVSS 4.0 de 8.4. O registro do NVD classifica a gravidade como crítica.

Esta vulnerabilidade consta no catálogo KEV da CISA?

Não. O registro indica que o campo de inclusão no KEV é falso, portanto nenhuma exploração ativa é confirmada pelas fontes consultadas.

Existe versão corrigida disponível?

O registro não informa nenhuma versão corrigida. Essa informação é desconhecida, e o site do fornecedor referenciado no registro deve ser verificado.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.