GPAC v2.5-DEV 修复 CVE-2025-60478 MP4Box堆释放后使用漏洞

CVE-2025-60478: Heap use-after-free in GPAC/MP4Box packet destruction via crafted MPEG-2 TS file

推荐理由

涉及核心多媒体处理工具的高危可利用漏洞，建议开发者与重度使用者立即升级至修复版本以防范潜在的安全风险。

Posted by Alexander A. Shvedov on Oct 22

由 Alexander A. Shvedov 发布于 10月22日

Product: GPAC (MP4Box)

产品：GPAC (MP4Box)

Affected: 2.5-DEV-rev1617-g856674b22-master

受影响版本：2.5-DEV-rev1617-g856674b22-master

Commit 856674b226d6cbe28a941ad223be38194cbf7d37

提交：856674b226d6cbe28a941ad223be38194cbf7d37

Fixed: c592a144bbe339ee581ca88aaa3247362795b742

修复：c592a144bbe339ee581ca88aaa3247362795b742

CVE: CVE-2025-60478

CVE：CVE-2025-60478

CWE: CWE-416 (Use After Free)

CWE：CWE-416（释放后使用）

CVSS 3.1: 7.8 HIGH (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H; BDU assessment)

CVSS 3.1：7.8 高危（AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H；BDU 评估）

Reporter: Alexander A. Shvedov (@sigdevel)

报告人：Alexander A. Shvedov (@sigdevel)

Description:

描述：

MP4Box contains a heap use-after-free in gf_filter_packet_destroy() at...

MP4Box 在 gf_filter_packet_destroy() 中存在堆释放后使用漏洞，位于...

看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力