Cyber ·
CVE-2025-60496: divisão por zero no reframer do GPAC/MP4Box com arquivo MP4 truncado
Aviso do feed oss-sec sobre divisão por zero no MP4Box (GPAC) acionada por arquivo MP4 truncado. CVSS 3.1 de 5.5, com impacto alto na disponibilidade. A versão afetada e a correção são identificadas por commit.
O aviso CVE-2025-60496, publicado em 22 de outubro por meio do feed oss-sec, descreve uma divisão por zero (CWE-369) no MP4Box, parte do projeto GPAC. Segundo o texto, a falha ocorre em reframer_send_packet() quando o programa processa um arquivo MP4 truncado e construído de forma específica. O CVSS 3.1 é 5.5 (médio), com vetor AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H: acesso local, sem privilégios, com necessidade de interação do usuário, sem impacto declarado em confidencialidade ou integridade e impacto alto em disponibilidade.
O aviso informa a build afetada 2.5-DEV-rev1780-g50b5741f2-master, correspondente ao commit 50b5741f291126b610c59db433fc02e8a17f0c5d. A correção indicada é o commit f03c946aae129980f0426d4cbae9746d0536fee6. Para checar, consulte o aviso original no arquivo público da lista oss-sec, cujo endereço está na própria listagem, compare a versão instalada com a build afetada e confirme se o commit de correção está presente na sua árvore de código.
Esta falha não tem ligação direta com privacidade: o descrito é uma interrupção do processo, sem menção a vazamento de dados. Mesmo assim, se a sua organização processa arquivos de mídia enviados por terceiros, o risco de travamento existe. A barreira de dados da Rota Nacional cobre transcrição de áudio e extração de documentos, não o processamento de arquivos MP4 pelo MP4Box, então essa proteção precisa ser aplicada na sua própria infraestrutura.