GPAC v2.5-DEV修复MP4Box AC-4描述符堆释放后使用漏洞CVE-2025-60476
CVE-2025-60476: Heap use-after-free in GPAC/MP4Box AC-4 descriptor cleanup
涉及核心多媒体处理库的高危内存破坏漏洞，建议开发者立即升级至修复版本以防止潜在的安全攻击。
Posted by Alexander A. Shvedov on Oct 22
由 Alexander A. Shvedov 发布于 10 月 22 日
Product: GPAC (MP4Box)
产品：GPAC (MP4Box)
Affected: 2.5-DEV-rev1593-gfe88c3545-master
受影响版本：2.5-DEV-rev1593-gfe88c3545-master
Commit fe88c3545aadd597b250ccf23271d5d3de50ccc8
提交 fe88c3545aadd597b250ccf23271d5d3de50ccc8
Fixed: e02d1fd24cdc26acb1b236ab38b3832cffcae21b
修复提交 e02d1fd24cdc26acb1b236ab38b3832cffcae21b
CVE: CVE-2025-60476
CWE: CWE-416 (Use After Free)
CWE: CWE-416（释放后使用）
CVSS 3.1: 8.8 HIGH (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H; BDU assessment)
CVSS 3.1: 8.8 HIGH (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H; BDU 评估)
Reporter: Alexander A. Shvedov (@sigdevel)
报告者：Alexander A. Shvedov (@sigdevel)
Description:
描述：
MP4Box contains a heap use-after-free in
MP4Box 中存在堆内存释放后使用漏洞，位于
gf_odf_ac4_cfg_clean_list() in...
gf_odf_ac4_cfg_clean_list() 函数中...
更进一步：量化金融体系
看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力