Cyber ·
CVE-2025-60467: uso após liberação no GPAC/MP4Box ao processar arquivo MPEG-2 TS malicioso
Aviso do feed oss-sec, publicado em 26 de outubro de 2026, sobre vulnerabilidade de uso após liberação no GPAC/MP4Box, acionada por um arquivo MPEG-2 TS criado para explorá-la. Classificada como CWE-416 e CVSS 3.1 4.3 (médio).
Em 26 de outubro, o feed oss-sec publicou aviso sobre a CVE-2025-60467, uma vulnerabilidade de uso após liberação (CWE-416) no GPAC, cuja ferramenta de linha de comando é o MP4Box. Segundo o texto, a falha pode ser acionada ao processar um arquivo MPEG-2 TS criado para esse fim. A fonte indica como ponto de origem a função gf_filter_pid_inst_swap_delete_task(), no núcleo de sessões de filtro do GPAC, em filter_core/filter_pid.c, linha 574, descrita como uma tarefa agendada que exclui um objeto que ainda pode ser usado.
O produto afetado é o gpac/gpac, em versões anteriores ao commit de correção, cujo identificador consta nas referências do aviso original. A pontuação CVSS 3.1 informada é 4.3 (médio), com vetor de rede, complexidade baixa, sem privilégio necessário, exigindo interação do usuário, sem impacto de confidencialidade, impacto de integridade nulo e impacto de disponibilidade baixo. O pesquisador creditado é identificado no aviso original. O texto arquivado está truncado na descrição técnica, portanto a análise completa depende do documento original.
A Rota Nacional não corrige bibliotecas de terceiros nem substitui a aplicação do commit de correção. Para verificar o impacto na sua organização, confira no original a lista de versões afetadas e as referências, identifique onde o GPAC ou o MP4Box é usado, inclusive em pipelines de transcodificação, e aplique a atualização indicada pelo projeto. Enquanto isso, trate arquivos de vídeo de origem externa como não confiáveis.