CVE-2023-5841

Heap-based buffer overflow w bibliotece OpenEXR przy parsowaniu deep scanline

CVSS 9.1v3.1pub. 2024-02-01upd. 2025-11-04

Biblioteka OpenEXR w wersjach do 3.2.1 włącznie zawiera krytyczną podatność typu heap-based buffer overflow podczas przetwarzania plików obrazów z danymi deep scanline. Błąd umożliwia zdalnemu atakującemu potencjalne przejęcie kontroli nad aplikacją bez konieczności uwierzytelnienia.

▸ Pokaż oryginał (EN)

Due to a failure in validating the number of scanline samples of a OpenEXR file containing deep scanline data, Academy Software Foundation OpenEX image parsing library version 3.2.1 and prior is susceptible to a heap-based buffer overflow vulnerability. This issue was resolved as of versions v3.2.2 and v3.1.12 of the affected library.

🤖 Analiza AI

Jak działa

Podatność wynika z braku poprawnej walidacji liczby próbek skanlinii (scanline samples) w plikach OpenEXR zawierających dane deep scanline. Gdy aplikacja przetwarza specjalnie spreparowany plik obrazu, nieprawidłowa wartość liczby próbek prowadzi do zapisu danych poza przydzielonym buforem na stercie (heap). Jest to klasyczny błąd CWE-122/CWE-787 — przepełnienie bufora na stercie z możliwością nadpisania sąsiednich obszarów pamięci.

Skutki

Atakujący może doprowadzić do uszkodzenia pamięci procesu przetwarzającego plik, co w konsekwencji może skutkować ujawnieniem poufnych danych lub wykonaniem dowolnego kodu (RCE) w kontekście aplikacji. Wektor sieciowy bez wymagań uwierzytelnienia znacząco zwiększa ryzyko wykorzystania podatności.

Mitygacja

Należy zaktualizować bibliotekę OpenEXR do wersji 3.2.2 lub nowszej (w gałęzi 3.2.x) albo do wersji 3.1.12 lub nowszej (w gałęzi 3.1.x). Użytkownicy dystrybucji Linux powinni zastosować dostępne aktualizacje pakietów systemowych. Do czasu wdrożenia patcha zaleca się unikanie przetwarzania plików OpenEXR z niezaufanych źródeł.

Kogo dotyczy

Academy Software Foundation OpenEXR w wersjach 3.2.1 i wcześniejszych oraz w gałęzi 3.1.x wcześniejszych niż 3.1.12.

Uwagi

Podatność została ujawniona publicznie na liście Full Disclosure (seclists.org) we wrześniu 2024 roku, ponad pół roku po dacie publikacji CVE. Poprawka została wprowadzona w wersjach v3.2.2 oraz v3.1.12 biblioteki OpenEXR.