Cyber ·
CVE-2025-60491: uso após liberação no GPAC/MP4Box acionado por entrada MPEG-2 TS (CVSS 8.8)
Aviso do oss-sec sobre uso após liberação no heap em dasher_flush_segment do GPAC/MP4Box, acionado por entrada MPEG-2 TS especialmente criada. CVSS 3.1 8.8 (ALTO), CWE-416. Versão corrigida indicada no aviso.
Aviso publicado em 23 de outubro, no feed oss-sec, sobre a vulnerabilidade CVE-2025-60491 no GPAC (MP4Box). Uma entrada MPEG-2 TS criada especialmente pode acionar um uso após liberação no heap na função dasher_flush_segment. A classificação é CWE-416 (Uso após liberação), com CVSS 3.1 de 8.8 (ALTO) e vetor AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H.
O aviso identifica o produto como GPAC (MP4Box), a versão afetada 2.5-DEV-rev1698-gfc2009fa7-master, com o commit fc2009fa75631960743f8f7855dda8998167b5ab. A correção indicada é o commit f6128214feb69cd689e4b9944a2621bc4ad8faf0. O texto disponível no feed é uma tradução automática; a descrição original deve ser conferida na fonte.
Para a relevância: quem usa MP4Box em pipelines de processamento de mídia, especialmente com arquivos de origem externa, deve verificar se alguma instalação está em versão igual ou anterior ao commit afetado e aplicar a correção. A Rota Nacional não detecta nem corrige esta vulnerabilidade. Para consultar o original, acesse o arquivo oss-sec de 2026 (período q4) e busque pelo identificador CVE-2025-60491.