PT-2025-52858 · Unknown+1 · Fluidsynth+1

Derselbst + 1 · Publicado 2025-12-23 · Atualizado 2026-01-05 · CVE-2025-68617

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.0

Alta

Vetor base

AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do FluidSynth 2.5.0 a 2.5.1

Descrição O FluidSynth, um sintetizador de software baseado nas especificações SoundFont 2, contém uma falha. Uma condição de corrida durante o descarregamento de um arquivo DLS pode levar a um uso após liberação baseado na heap. Isso ocorre quando uma thread está aguardando para descarregar um arquivo DLS enquanto o sintetizador está sendo destruído ou amostras do arquivo DLS estão sendo usadas para síntese de áudio. O problema não ocorre ao descarregar explicitamente um arquivo DLS antes da destruição do sintetizador, desde que nenhuma amostra esteja sendo usada ativamente. Também não ocorre em compilações sem suporte nativo a DLS.

Recomendações Atualize para a versão 2.5.2 ou posterior.

Exploit

Correção

Use After Free

Enumeração de Fraquezas

CWE-416

Identificadores relacionados

CVE-2025-68617

GHSA-FFW2-XVVP-39CH

OPENSUSE-SU-2026:10004-1

Produtos afetados

Debian

Fluidsynth

Referências · 20

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/68xxx/CVE-2025-68617.json · Exploit
• 🔥 https://github.com/FluidSynth/fluidsynth/issues/1728 · Exploit
• 🔥 https://github.com/FluidSynth/fluidsynth/issues/1717 · Exploit
• https://github.com/FluidSynth/fluidsynth/commit/962b9946b5cb6b16f0c08b89dd1b7016d4fce886 · Correção
• https://github.com/FluidSynth/fluidsynth/security/advisories/GHSA-ffw2-xvvp-39ch · Aviso do Fabricante
• https://github.com/FluidSynth/fluidsynth/commit/685e54cdc44911ace31774260bd0c9ec89887491 · Correção
• https://osv.dev/vulnerability/CVE-2025-68617 · Aviso do Fabricante
• https://t.me/cveNotify/146724 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2025-68617 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2025-68617 · Aviso do Fabricante
• https://twitter.com/Cezar_H_Linux/status/2008177313939369998 · Publicação no Twitter
• https://security-tracker.debian.org/tracker/CVE-2025-68617 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2025-68617 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2026:10004-1 · Aviso do Fabricante
• https://t.me/CVEtracker/40539 · Publicação no Telegram