Cyber ·
CVE-2025-60489: ponteiro NULL no MP4Box do GPAC com entrada MP4 especialmente criada
Aviso da lista oss-sec de 23 de outubro de 2026 descreve uma desreferência de ponteiro NULL em dasher_insert_timeline_entry do MP4Box (GPAC), classificada como CWE-476, CVSS 3.1 5.5 (médio), com correção em commit publicado.
O aviso publicado na lista oss-sec em 23 de outubro de 2026 descreve a CVE-2025-60489 no GPAC, produto MP4Box. Uma entrada MP4 especialmente criada pode levar o MP4Box a desreferenciar um ponteiro próximo de NULL dentro da função dasher_insert_timeline_entry(). A classificação é CWE-476, desreferência de ponteiro NULL. A pontuação CVSS 3.1 é 5.5, médio, com vetor AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H, ou seja, acesso local, sem privilégios exigidos, com interação do usuário, sem impacto de confidencialidade ou integridade e impacto alto de disponibilidade. A versão afetada indicada é 2.5-DEV-rev1692-g23819fdc0-master, com commit 23819fdc02be8d3e92f0ef84831625d51981d7d2. A correção está no commit 4860a1a6f128ccc9ae37b4b738d22029f9672457. O aviso credita um pesquisador identificado no texto original. O texto consultado é uma tradução automática do feed, por isso a verificação deve ser feita no aviso original da lista oss-sec e no histórico do repositório do projeto GPAC, comparando o commit afetado com o corrigido.