CVE-2022-41649

Odczyt poza granicami sterty w OpenImageIO przy przetwarzaniu plików TIFF

CVSS 9.1v3.1pub. 2022-12-22upd. 2024-11-21

W OpenImageIO v2.3.19.0 istnieje podatność typu heap out-of-bounds read podczas obsługi danych IPTC w plikach TIFF. Umożliwia ona wyciek wrażliwych informacji z pamięci procesu, co może prowadzić do dalszych ataków.

▸ Pokaż oryginał (EN)

A heap out of bounds read vulnerability exists in the handling of IPTC data while parsing TIFF images in OpenImageIO v2.3.19.0. A specially-crafted TIFF file can cause a read of adjacent heap memory, which can leak sensitive process information. An attacker can provide a malicious file to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność (CWE-125) wynika z nieprawidłowego walidowania rozmiaru danych IPTC osadzonych w pliku TIFF podczas ich parsowania. Specjalnie spreparowany plik TIFF powoduje odczyt pamięci sterty poza przeznaczonym buforem. Skutkuje to ujawnieniem zawartości sąsiednich obszarów pamięci procesu aplikacji.

Skutki

Atakujący może uzyskać dostęp do wrażliwych danych z pamięci procesu (np. kluczy, tokenów, danych użytkownika) oraz doprowadzić do nieprawidłowego zakończenia działania aplikacji. Podatność ma wpływ zarówno na poufność, jak i dostępność systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Użytkownicy Debian Linux powinni zastosować aktualizacje opisane w DSA-5384 (Debian stable) oraz komunikacie debian-lts-announce z sierpnia 2023. Użytkownicy Gentoo powinni odnieść się do GLSA 202305-33.