CVE-2017-14608

LibRaw: out of bounds read w obsłudze plików Kodak (kodak_65000_load_raw)

CVSS 9.1v3.0pub. 2017-09-20upd. 2026-05-13

W bibliotece LibRaw do wersji 0.18.4 włącznie wykryto podatność typu out of bounds read w funkcji kodak_65000_load_raw, obecnej w plikach dcraw/dcraw.c oraz internal/dcraw_common.cpp. Błąd umożliwia ujawnienie wrażliwych danych z pamięci lub spowodowanie awarii aplikacji przetwarzającej pliki RAW.

▸ Pokaż oryginał (EN)

In LibRaw through 0.18.4, an out of bounds read flaw related to kodak_65000_load_raw has been reported in dcraw/dcraw.c and internal/dcraw_common.cpp. An attacker could possibly exploit this flaw to disclose potentially sensitive memory or cause an application crash.

🤖 Analiza AI

Jak działa

Podatność (CWE-125) polega na odczycie danych spoza przydzielonego bufora pamięci podczas parsowania plików RAW w formacie Kodak 65000. Atakujący może dostarczyć specjalnie spreparowany plik RAW, którego przetworzenie przez podatną funkcję spowoduje odczyt z nieautoryzowanego obszaru pamięci. Exploitation jest możliwy zdalnie, bez uwierzytelnienia i bez interakcji użytkownika (poza otwarciem pliku), co czyni wektor ataku szczególnie groźnym.

Skutki

Atakujący może uzyskać dostęp do potencjalnie wrażliwych danych przechowywanych w pamięci procesu lub spowodować crash aplikacji korzystającej z biblioteki LibRaw, prowadząc do odmowy usługi (DoS).

Mitygacja

Należy zaktualizować LibRaw do wersji zawierającej poprawkę udostępnioną w ramach commitu d13e8f6d1e987b7491182040a188c16a395f1d21 w repozytorium GitHub. Należy zastosować patche dostępne u producenta zgodnie z referencjami.

Kogo dotyczy

LibRaw w wersjach do 0.18.4 włącznie

Uwagi

Podatność została zgłoszona w ramach issue #101 w oficjalnym repozytorium LibRaw na GitHub. Poprawka dostępna jest w postaci konkretnego commitu: d13e8f6d1e987b7491182040a188c16a395f1d21.