Cyber ·
CVE-2026-124308: uso após liberação no VVdeC/vvdecapp antes da 3.2.1
Falha de uso após liberação no heap na reconstrução de subfiguras do VVdeC/vvdecapp anteriores à 3.2.1. CVSS 3.1 de 5.8, severidade média, com correção identificada por commit.
Publicado no feed oss-sec em 11 de novembro de 2026, o aviso descreve o CVE-2026-124308, classificado como CWE-416 (uso após liberação). A falha está na reconstrução de subfiguras do VVdeC (vvdecapp), biblioteca de decodificação de vídeo VVC, em versões anteriores à 3.2.1. Segundo o texto, tarefas de extensão de borda de subfiguras mantêm ponteiros brutos, o que pode levar ao uso de memória já liberada. A compilação reproduzida foi a 3.3.0-dev, no commit e493ce51f13a2dea72cd58354652ed4e0f509a0e, e a correção aparece no commit 8a0def8ba6050412d33e69a6f1e66e287b039083. O CVSS 3.1 é 5.8 (médio), com vetor AV:L/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:H, indicando acesso local, alta complexidade, interação do usuário e impacto principalmente de disponibilidade.
Para quem opera o VVdeC, o passo prático é verificar se a versão em uso é anterior à 3.2.1 e atualizar para a versão corrigida ou superior, confirmando a correção no histórico do projeto de origem. O Rota Nacional não fornece nem corrige esta biblioteca, e este aviso não indica nenhuma capacidade da plataforma para resolver a falha. Consulte o texto original no feed oss-sec de 11 de novembro de 2026 para detalhes adicionais antes de agir.