Cyber ·
CVE-2025-60482: use-after-free no GPAC/MP4Box durante a limpeza do descritor AC-4
Falha use-after-free (CWE-416) no GPAC/MP4Box, confirmada na revisão 2.5-DEV-rev1593 e corrigida por commit upstream. CVSS 3.1 de 5.5, classificada como média. Aviso publicado no feed oss-sec em 29 de outubro.
Um aviso publicado no feed oss-sec em 29 de outubro descreve uma falha use-after-free no heap do GPAC, o conjunto de ferramentas que inclui o MP4Box. A vulnerabilidade está registrada como CVE-2025-60482 e classificada como CWE-416, Use After Free. O texto identifica a revisão afetada 2.5-DEV-rev1593-gfe88c3545-master como confirmada, com o commit fe88c3545aadd597b250ccf23271d5d3de50ccc8 como ponto de partida. A correção upstream indicada é o commit e02d1fd24cdc26acb1b236ab38b3832cffcae21b.
A pontuação CVSS 3.1 é 5.5, de gravidade média, com vetor AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H. Segundo esse vetor, o impacto principal é de disponibilidade: a exploração exige acesso local e interação do usuário, e não há impacto declarado sobre confidencialidade ou integridade. A avaliação CISA ADP consta no registro da CVE.
Para a sua organização, a relevância está em verificar se alguma instalação de GPAC ou MP4Box, inclusive em estações de trabalho ou pipelines de processamento de mídia, está em revisão anterior à correção. O aviso não traz informação sobre exploração ativa.
Para conferir o original, consulte o registro da CVE e o post no feed oss-sec, que são as fontes primárias. Confirme os hashes de commit no repositório oficial do projeto antes de qualquer decisão operacional.