CVE-2025-60482: use-after-free no heap do GPAC/MP4Box durante a limpeza do descritor AC-4

O que aconteceu e o que fazer

O aviso, publicado em 29 de outubro na lista oss-sec, registra uma falha use-after-free no heap do GPAC (MP4Box), identificada como CVE-2025-60482 e classificada como CWE-416. A versão afetada confirmada é a 2.5-DEV-rev1593-gfe88c3545-master, correspondente ao commit fe88c3545aadd597b250ccf23271d5d3de50ccc8. A correção upstream está no commit e02d1fd24cdc26acb1b236ab38b3832cffcae21b. A pontuação CVSS 3.1 é 5.5, vetor AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H, com impacto na disponibilidade e exigência de interação do usuário.

Na prática, uma empresa que processa arquivos MP4 e AC-4 de fontes externas, como pipelines de transcodificação, indexação de mídia ou ingestão de conteúdo, deve primeiro localizar onde o MP4Box é usado, inclusive em imagens de contêiner e ferramentas internas, e comparar a revisão em uso com o commit corrigido. Os binários que não incluem a correção devem ser recompilados ou atualizados a partir de uma versão que contenha o commit e02d1fd. Como o vetor aponta impacto de disponibilidade, é recomendável executar o parsing de arquivos não confiáveis em processos isolados, com limites de recursos e reinício automático, e monitorar falhas e encerramentos inesperados desses processos como sinal de exploração ou de entrada maliciosa.

Como a consultoria pode ajudar

Podemos fazer um diagnóstico do inventário de uso do GPAC/MP4Box nos seus sistemas, incluindo builds, imagens de contêiner e pipelines de mídia, e comparar cada versão com o commit corrigido. Em seguida, desenhamos e implementamos a atualização ou recompilação, o isolamento do parsing de arquivos externos e o monitoramento de falhas, na sua infraestrutura.

Próximo passo

Se a sua empresa usa GPAC ou MP4Box em processamento de mídia, envie uma descrição curta do seu fluxo, das fontes dos arquivos e do ambiente de execução. Com isso, preparamos uma proposta escopada de diagnóstico e implementação.