CVE-2026-68514 in OpenEXR
الملخص
بحسب VulDB • 25/08/2026
يُعد OpenEXR التنفيذ المرجعي والمواصفة الخاصة بتنسيق ملفات الصور EXR، وهو مستخدم على نطاق واسع في صناعة الأفلام المتحركة. في الإصدارات من 3.3.0 إلى 3.3.12 ومن 3.4.0 إلى 3.4.13، تحتوي روابط بايثون PyOpenEXR على عملية كتابة خارج حدود الذاكرة (heap out-of-bounds write) تُفعّل عند قراءة ملف EXR عميق مُصنع بشكل خبيث. عندما يُعلن الملف العميق عن قناة حرفية باسم "left" إلى جانب قنوات RGB ذات بادئات طبقة مثل left.R و left.G و left.B، يقوم الغلاف بمعالجة القناة الحرفية "left" أولاً وتخصيص مصفوفة عينة عميقة قياسية (scalar deep sample array) لها، ثم يعيد استخدام تلك المصفوفة نفسها كوجهة مدمجة لمجموعة RGB ذات البادئات. يسجل القارئ العميق شرائح العينات بخطوة RGB (ثلاثة مسارات/lanes) في مساحة تخزين تم تخصيصها بشكل قياسي فقط، مما يؤدي إلى الكتابة خارج حدود التخصيص عند فك تشفير العينات العميقة. فتح ملف من هذا النوع عبر واجهة بايثون العامة الافتراضية `OpenEXR.File(path)` يتسبب في حدوث heap buffer overflow أثناء فك تشفير العينات العميق العادي، ما يؤدي إلى تلف الذاكرة وتعطيل البرنامج (crash). تم إصلاح هذه المشكلة في الإصدارات 3.3.13 و 3.4.14.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.