CVE-2025-55640: estouro de buffer no heap no GPAC/MP4Box ao processar MP4 com metadados de amostra corrompidos

O aviso, registrado no feed oss-sec em 17 de outubro, descreve a CVE-2025-55640 no GPAC, pacote cujo utilitário MP4Box importa arquivos MP4. A falha é classificada como CWE-122, estouro de buffer baseado em heap, e ocorre quando o MP4Box processa um arquivo criado com metadados de amostra manipulados, como contagens de amostras corrompidas. O texto informa que a exploração pode afetar confidencialidade, integridade e disponibilidade. A pontuação CVSS 3.1 é 8,8, com vetor de rede, complexidade baixa, sem privilégios exigidos e necessidade de interação do usuário. As versões afetadas são as anteriores ao commit de correção 321624f28d19a413449fd1718d1eb59037f8f7fc do repositório gpac/gpac. Para consultar o original, procure pela CVE-2025-55640 no feed oss-sec e leia o texto completo, que traz a descrição técnica e a indicação do relator. Para verificar, compare a versão instalada do MP4Box com o commit de correção no repositório oficial do projeto e confirme se a alteração está incluída. O texto recebido é tradução automática, então use a versão original para detalhes técnicos. A falha está em uma ferramenta de multimídia, não em um serviço da Rota Nacional, e a plataforma não corrige bibliotecas de terceiros. Equipes que usam MP4Box em pipelines de mídia antes de enviar conteúdo a modelos devem tratar arquivos de origem externa como não confiáveis, atualizar o componente e isolar a etapa de conversão.