Cyber ·
CVE-2025-60497: desreferência de ponteiro NULL em GetESD do GPAC/MP4Box por entrada MP4 especial
Aviso de segurança sobre uma falha de desreferência de ponteiro NULL na função GetESD do MP4Box (GPAC), acionada por uma entrada MP4 criada de forma especial. A gravidade é média, com CVSS 3.1 de 5.5, segundo avaliação citada na fonte.
O aviso descreve a CVE-2025-60497, classificada como CWE-476 (desreferência de ponteiro NULL). Segundo a fonte, uma entrada MP4 criada especialmente pode acionar a falha em GetESD() no MP4Box, ferramenta do projeto GPAC. A gravidade é média. A pontuação CVSS 3.1 é 5.5, com vetor AV:L, AC:L, PR:N, UI:R, S:U, C:N, I:N, A:H, e a avaliação é atribuída à CISA na fonte. O impacto indicado é de disponibilidade (A:H), sem impacto declarado em confidencialidade ou integridade. O vetor local e a necessidade de interação do usuário reduzem a superfície de ataque, pois o arquivo precisa ser processado localmente. A versão afetada informada é 2.5-DEV-rev1780-g50b5741f2-master, no commit 50b5741f291126b610c59db433fc02e8a17f0c5d. A correção aparece no commit 91083fcfce01aa596a13a6962768d13a60bfc8bb. O relato foi publicado em 23 de outubro de 2026 na lista oss-sec, com tradução automática feita pela fonte. Para verificar, consulte o texto original na lista oss-sec de 2026, pelo endereço indicado na fonte original, e confirme no repositório oficial do GPAC os commits informados e a versão corrigida que você usa.