CVE-2025-55653: divisão por zero no GPAC/MP4Box ao importar MP4 malformado
O aviso do oss-sec descreve uma divisão por zero no MP4Box, do GPAC, causada por um MP4 com fração de denominador zero, com risco de negação de serviço. A severidade é média (CVSS 3.1: 5.5).
Fonte: CVE-2025-55653: divisão por zero no GPAC/MP4Box ao processar MP4 criado para explorar gf_parse_lfrac (seclists.org). Texto preparado com IA a partir dessa fonte.
O que aconteceu e o que fazer
O aviso, publicado em 17 de outubro por Alexander A. Shvedov na lista oss-sec, trata da CVE-2025-55653 (CWE-369, divisão por zero) no GPAC (MP4Box). Quando o MP4Box importa um arquivo MP4 criado com uma fração inválida cujo denominador é zero, o processamento pode falhar e derrubar o serviço. A pontuação CVSS 3.1 é 5.5 (médio), com impacto apenas na disponibilidade. São afetadas as versões anteriores ao commit de correção 4bbb6e5f.
Para uma empresa, o primeiro passo é inventariar onde o GPAC/MP4Box roda: estações de transcodificação, pipelines de upload, containers de mídia e ferramentas internas. Em seguida, atualizar para uma build que inclua a correção. Onde a atualização demora, é possível isolar o processamento de arquivos enviados por terceiros em workers descartáveis, com limites de tempo e memória, e validar a estrutura dos MP4 antes da importação. Um monitoramento simples de reinícios e falhas desses workers ajuda a detectar tentativas de exploração.
Como a consultoria pode ajudar
A Wendelmaques pode diagnosticar onde o GPAC/MP4Box está em uso na sua infraestrutura, medir a exposição a arquivos de origem externa e propor um plano de correção. Depois, implementa a atualização controlada, o isolamento do processamento de mídia e o monitoramento de falhas, na sua própria infraestrutura.
Próximo passo
Se sua empresa processa vídeos ou MP4 de terceiros, envie uma breve descrição do seu cenário (onde o MP4Box roda, volume e origem dos arquivos) e receba uma proposta com escopo definido.
Vamos avaliar seu projeto
Respondo com escopo e proposta.