CVE-2026-14454

Imager dla Perl — błędna obsługa licznika wpisów EXIF prowadząca do DoS

CVSS 9.8pub. 2026-07-08upd. 2026-07-10

Biblioteka Imager dla języka Perl w wersjach przed 1.033 błędnie interpretuje liczbę wpisów IFD w danych EXIF, traktując wartości bez znaku jako liczby ze znakiem. Umożliwia to atakującemu spreparowanie obrazu, który powoduje awarię procesu roboczego.

▸ Pokaż oryginał (EN)

Imager versions before 1.033 for Perl treat unsigned EXIF IFD entry counts as signed. Imager mishandled large EXIF IFD entry count values, treating them as negative numbers. This could lead to an attempt to allocate a block nearly the size of the address space, which fails and kills the process. An attacker could craft an image with EXIF data that terminates a worker process.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowego traktowania pola licznika wpisów IFD w strukturze EXIF — wartość bez znaku (unsigned) jest interpretowana jako liczba ze znakiem (signed). Gdy atakujący umieści w obrazie dużą wartość tego licznika, biblioteka odbiera ją jako liczbę ujemną, po czym próbuje zaalokować blok pamięci o rozmiarze zbliżonym do całej przestrzeni adresowej. Próba alokacji kończy się niepowodzeniem, co powoduje natychmiastowe zakończenie procesu przetwarzającego obraz.

Skutki

Atakujący może spowodować awarię (crash) procesu roboczego aplikacji poprzez dostarczenie spreparowanego pliku graficznego z odpowiednio przygotowanymi danymi EXIF, co skutkuje odmową usługi (DoS).

Mitygacja

Należy zaktualizować bibliotekę Imager do wersji 1.033 lub nowszej, dostępnej w repozytorium CPAN (https://metacpan.org/release/TONYC/Imager-1.033/changes). Dostępna jest również łatka w repozytorium GitHub projektu.

Kogo dotyczy

Biblioteka Imager dla Perl w wersjach przed 1.033

Uwagi

Podatność została ujawniona 8 lipca 2026 roku na liście oss-security. Pomimo oceny CVSS 9.8 (CRITICAL), praktyczny wpływ ogranicza się do odmowy usługi — brak wskazań na możliwość wykonania kodu. Rozbieżność między oceną CVSS a rzeczywistym wpływem wynika prawdopodobnie z przypisanych CWE (CWE-196 — błąd konwersji typów, CWE-789 — nieprawidłowe ograniczenie alokacji pamięci).