CVE-2024-55194

Heap overflow w OpenImageIO przez komponent fmath.h

CVSS 9.8v3.1pub. 2025-01-23upd. 2025-01-29

W bibliotece OpenImageIO w wersji v3.1.0.0dev wykryto podatność typu heap overflow w komponencie fmath.h. Podatność uzyskała ocenę krytyczną CVSS 9.8, co oznacza bardzo wysokie ryzyko dla systemów korzystających z tej biblioteki.

▸ Pokaż oryginał (EN)

OpenImageIO v3.1.0.0dev was discovered to contain a heap overflow via the component /OpenImageIO/fmath.h.

🤖 Analiza AI

Jak działa

Podatność polega na przepełnieniu bufora na stercie (heap overflow) w pliku nagłówkowym /OpenImageIO/fmath.h — klasyfikowanym jako CWE-787 (zapis poza granicami bufora) oraz CWE-120 (brak walidacji rozmiaru przy kopiowaniu). Atakujący może dostarczyć specjalnie spreparowane dane wejściowe, które powodują przekroczenie granic przydzielonej pamięci na stercie. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji użytkownika, co znacząco zwiększa jego dostępność dla potencjalnych napastników.

Skutki

Skuteczne wykorzystanie podatności może umożliwić atakującemu zdalne wykonanie dowolnego kodu (RCE), a także naruszenie poufności, integralności i dostępności systemu w pełnym zakresie.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie repozytorium projektu na GitHub pod adresem wskazanym w referencjach oraz aktualizację do wersji zawierającej poprawkę po jej udostępnieniu.