Cyber ·
CVE-2025-71438: leitura fora dos limites no GPAC/MP4Box com fluxo AC-4 malformado
Aviso público sobre leitura fora dos limites (CWE-125) no GPAC/MP4Box ao processar fluxo AC-4 com índice de taxa de quadros inválido. CVSS 3.1 de 5.4, classificado como médio. Publicado em 22 de outubro de 2026 na lista oss-sec.
Segundo o aviso publicado na lista de discussão oss-sec em 22 de outubro de 2026, a função gf_odf_ac4_cfg_dsi_v1, no arquivo odf/descriptors.c do projeto GPAC, usa um índice de taxa de quadros (frame_rate_index) fornecido pelo próprio fluxo para consultar tabelas de tamanho fixo. Um fluxo AC-4 construído de forma específica pode provocar uma leitura fora dos limites, classificada como CWE-125.
O produto afetado é o GPAC, incluindo a ferramenta MP4Box, nas versões anteriores ao commit de correção indicado nas referências do aviso original. A pontuação CVSS 3.1 é 5.4, de gravidade média, com vetor AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L: ataque pela rede, complexidade baixa, sem privilégios, com interação do usuário, escopo não alterado, impacto baixo em confidencialidade e disponibilidade e nenhum impacto em integridade.
Para verificar a situação no seu ambiente, consulte o identificador CVE nas bases oficiais, confira a versão do GPAC instalada e compare com o commit de correção citado no aviso original. Atualize o software assim que a correção estiver disponível na sua distribuição.
Relevância e privacidade: este é um aviso de segurança, e a privacidade é um tema secundário. Se sua equipe usar IA para estudar o aviso ou planejar a correção, não cole logs, caminhos internos, configurações ou arquivos de mídia de clientes. A Rota Nacional detecta dados pessoais como CPF, CNPJ, e-mail, telefone e nomes antes de qualquer modelo rodar e aplica a política da organização, mas isso não substitui a revisão humana de segredos e credenciais.