Cyber ·
CVE-2025-60479: ponteiro NULL no GPAC/MP4Box via cena BIFS especial
Aviso de segurança sobre desreferência de ponteiro NULL no GPAC/MP4Box, acionada por uma cena BIFS especialmente construída. CVSS 3.1 de 5.5, classificação média, com correção indicada pelo projeto.
Fatos do aviso publicado em 22 de outubro na lista oss-sec: a falha é a CVE-2025-60479, classificada como CWE-476 (desreferência de ponteiro NULL). Ela afeta o MP4Box do projeto GPAC na versão 2.5-DEV-rev1678-gb7ffd9f96-master, identificada pelo commit b7ffd9f96bc188dde148300d8c4e510b557563aa. A correção indicada está no commit 75786eb61b7cc838b57c3d4f8004b4f13b5b724c. O vetor CVSS 3.1 é AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H, nota 5.5, classificada como média pela avaliação BDU. Segundo o aviso, uma cena BIFS especialmente construída pode provocar a falha, com impacto de disponibilidade. Para quem usa o MP4Box, a leitura prática é verificar a versão instalada e aplicar a correção do projeto. A relevância para a Rota Nacional é indireta: a plataforma não executa nem corrige o GPAC e não trata esta vulnerabilidade. Consulte o aviso original na lista oss-sec e o repositório oficial do GPAC para confirmar os detalhes.