Cyber ·
Godot 4.x: correção para estouro de heap por comprimento negativo de string em recursos binários
Aviso do oss-sec sobre gravação fora dos limites do heap no carregador de recursos binários do Godot 4.x, causada por comprimento de string inválido. Correção integrada ao upstream em 20 de outubro de 2026.
Fonte: aviso publicado no feed oss-sec em 23 de outubro de 2026, com tradução automática. O problema está no carregador de recursos binários do Godot 4.x: strings com comprimento inválido podiam levar a gravação fora dos limites do heap. A correção, referenciada como PR 124699 com o título Corrige estouro do heap com comprimento de string inválido em recursos binários, foi integrada ao branch master em 20 de outubro de 2026 (commit de merge d9f4c99f0a). Segundo o texto, ela rejeita comprimentos negativos e comprimentos maiores que o restante do arquivo nas funções get_unicode_string e get_ustring, e retorna antecipadamente quando o comprimento é zero em get_ustring. Para consultar o original, use o aviso no oss-sec e o pull request indicado no repositório oficial do Godot, comparando data e hash do commit com o histórico do projeto. Relevância: quem distribui jogos ou ferramentas baseadas em Godot 4.x deve verificar a versão em uso e atualizar quando houver uma release que contenha a correção. Trata-se de informação de segurança sobre software de terceiros; a Rota Nacional não corrige nem audita o Godot.