Cyber ·
CVE-2025-60492: recursão descontrolada no decodificador BIFS do GPAC/MP4Box
Aviso de segurança sobre recursão descontrolada (CWE-674) no decodificador BIFS do GPAC/MP4Box. Uma entrada MP4 especialmente criada pode esgotar a pilha do processo durante a decodificação. A severidade informada é média, com CVSS 3.1 de 5.5, e o build corrigido é indicado no próprio aviso.
O aviso descreve a CVE-2025-60492, em que uma entrada MP4 especialmente criada provoca recursão descontrolada no decodificador BIFS do GPAC, incluindo a ferramenta MP4Box. Segundo o texto, a recursão pode esgotar a pilha do processo durante a decodificação. A classificação de fraqueza é CWE-674, recursão descontrolada. O produto afetado é o GPAC (MP4Box), na versão de desenvolvimento 2.5-DEV-rev1687 do ramo master, identificada pelo commit e44a4e2b0d193566619ada71599e70255699da94. A correção aparece no commit 8e7b9a3a04331286b89d1803c65a2d6edc11b4c4. O CVSS 3.1 é 5.5, classificado como médio, com vetor AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H, segundo avaliação atribuída à CISA. O vetor indica acesso local, nenhum privilégio exigido, interação do usuário e impacto apenas na disponibilidade. O relatório foi publicado na lista oss-sec em 23 de outubro e o pesquisador responsável é citado no aviso original. Para verificar, consulte a lista oss-sec e o repositório oficial do GPAC, confirme o commit corrigido e compare com a versão em uso.