CVE-2026-45382 in libde265
Zusammenfassung
von VulDB • 22.07.2026
libde265 ist eine Open-Source-Implementierung des h.265-Videocodecs. Vor Version 1.0.19 liest `decoder_context::decode_slice_unit_tiles` (libde265/decctx.cc:920) an Zeile 966 den Wert `pps.CtbAddrRStoTS[ctbAddrRS]`, wobei `ctbAddrRS = ctbY * ctbsWidth + ctbX` aus PPS-bereitgestellten Arrays `colBd[]`/`rowBd[]` berechnet wird, ohne das Ergebnis gegen `CtbAddrRStoTS.size() == sps->PicSizeInCtbsY` zu validieren. Ein fehlerhaftes PPS (Picture Parameter Set), das zwar `set_derived_values` passiert, aber eine mit dem SPS (Sequence Parameter Set) inkonsistente Geometrie kodiert, erzeugt einen Wert für `ctbAddrRS`, der über die zugewiesenen Grenzen hinausgeht und dadurch zu einem 4-Byte Heap-Buffer-Overflow READ führt. Version 1.0.19 behebt dieses Problem.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.