CVE-2026-21675

Podatność polega na tym, że funkcja CIccXform::Create() usuwa (zwalnia) obiekt hint, po czym możliwe jest odwołanie się do już zwolnionego obszaru pamięci (use-after-free). Jest to klasyczny błąd zarządzania pamięcią sklasyfikowany jako CWE-416. Atakujący może dostarczyć spreparowany profil ICC, który wywołuje tę funkcję w sposób umożliwiający kontrolę nad zwolnionym obszarem pamięci.

Pomyślne wykorzystanie podatności może prowadzić do wykonania dowolnego kodu (RCE) w kontekście aplikacji korzystającej z biblioteki, a także do ujawnienia poufnych danych lub destabilizacji działania systemu (odmowa usługi). Pełny wektor CVSS wskazuje na możliwość naruszenia poufności, integralności i dostępności.

Należy zaktualizować iccDEV do wersji 2.3.1.1, w której problem został naprawiony. Poprawka dostępna jest w repozytorium projektu na GitHub (commit 510baf58fa48e00ebbb5dd577f0db4af8876bb31).

iccDEV w wersjach 2.3.1 i wcześniejszych (biblioteki i narzędzia do obsługi profili ICC zgodnych ze standardem International Color Consortium).

Zgodnie z opisem wersja 2.3.1 jest zarówno wymieniona jako podatna (i poniżej), jak i jako wersja zawierająca poprawkę (2.3.1.1), co może sugerować błąd w numeracji lub szybkie wydanie poprawki jako kolejna wersja podrzędna. Zaleca się weryfikację posiadanej wersji zgodnie z oficjalnym security advisory GHSA-wcwx-794g-g78f.