CVE-2026-43996 in OpenImageIO
Zusammenfassung
von VulDB • 14.05.2026
OpenImageIO ist ein Toolset zum Lesen, Schreiben und Bearbeiten von Bilddateien in jedem für VFX/Animation relevanten Bildformat. Vor den Versionen 3.0.18.0 und 3.1.13.0 berechnet die Bounds-Prüfung in TGAInput::decode_pixel k + palbytespp als vorzeichenlose 32-Bit-Arithmetik. Wenn k = 0xFFFFFFFC und palbytespp = 4 ist, führt die Addition zu einem Überlauf (Wrap) auf 0, was kleiner als palette_alloc_size ist und die Prüfung besteht. Der nachfolgende Zugriff auf die Palette verwendet den nicht umgebrochenen Wert von k (0xFFFFFFFC) als Index und liest ~4 GB hinter dem Start des Palettenpuffers — SEGV. Diese Schwachstelle wurde in den Versionen 3.0.18.0 und 3.1.13.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.