Cyber ·
CVE-2025-60478: uso após liberação na heap no GPAC/MP4Box via arquivo MPEG-2 TS
Aviso de segurança sobre falha de uso após liberação (CWE-416) no MP4Box, do pacote GPAC, acionada por arquivo MPEG-2 TS malformado. CVSS 3.1 de 7.8, classificado como alto.
Em 22 de outubro, uma lista de discussão de segurança de código aberto publicou o CVE-2025-60478. O aviso descreve um uso após liberação na heap durante a destruição de pacotes (gf_filter_packet_destroy) no MP4Box, ferramenta de linha de comando do projeto GPAC. Um arquivo MPEG-2 TS criado especialmente pode acionar a falha. A classificação CWE é CWE-416 e a pontuação CVSS 3.1 é 7.8, com vetor AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H, com avaliação da BDU. Segundo o texto, a versão afetada é 2.5-DEV-rev1617-g856674b22-master, e a correção está no commit c592a144bbe339ee581ca88aaa3247362795b742. A tradução automática do feed indica que o texto original está em inglês; o relatório completo deve ser consultado na fonte original.
Para o leitor, a relevância está em qualquer processo que converta ou analise mídia recebida de terceiros com o MP4Box. A Rota Nacional não corrige bibliotecas ou ferramentas de terceiros e não resolve a falha. A ação concreta é verificar se a versão instalada é a afetada, atualizar para uma revisão que inclua o commit corrigido e limitar o processamento de arquivos não confiáveis a ambientes isolados.