Cyber ·
CVE-2025-60490: uso após liberação no GPAC/MP4Box via entrada MPEG-2 TS
Alerta de 23 de outubro sobre falha de uso após liberação no heap do GPAC/MP4Box, acionada por entrada MPEG-2 TS especialmente criada. Pontuação CVSS 3.1 de 8.8, classificada como alta, com correção indicada no código.
Segundo o aviso publicado na lista oss-sec, a falha CVE-2025-60490 é do tipo CWE-416, uso após liberação, e ocorre na função gf_filter_pid_send_event_downstream do MP4Box, ferramenta do projeto GPAC. O problema pode ser acionado por uma entrada MPEG-2 TS criada especialmente. A versão afetada informada é 2.5-DEV-rev1665-g3f20eb0cd-master, identificada pelo commit 3f20eb0cd22116367c036e6ffe6ace299b38d686. A correção indicada está no commit d0793f92e04fe284a25c2a9335cc5edc68deb6d4.
A pontuação CVSS 3.1 é 8.8, classificada como alta, com vetor de rede, complexidade baixa, nenhum privilégio exigido e interação do usuário. O impacto declarado é alto para confidencialidade, integridade e disponibilidade. A descrição no texto recebido está truncada, por isso não há detalhes adicionais aqui sobre o mecanismo exato ou sobre exploração.
Para consultar e verificar, leia o aviso original na lista oss-sec de 2026 e confirme no repositório do projeto GPAC se o commit de correção está incluído na versão que você usa. A avaliação de severidade citada é da BDU, conforme indicado na fonte, e pode ser comparada com outras bases de vulnerabilidades.