CVE-2026-63419 in OpenImageIO
Zusammenfassung
von VulDB • 18.09.2026
OpenImageIO ist ein Toolset zum Lesen, Schreiben und Bearbeiten von Bilddateien jeglicher für VFX/Animation relevanter Bildformate. Vor den Versionen 3.0.21.0, 3.1.16.0 und 3.2.0.3-beta1 wird eine zbuffer-only kachelige iff-Datei mit einem öffentlichen imagespec von 16 Bit offengelegt, während der Decoder eine interne Pixelgröße von 32 Bit beibehält. iffinput::read_native_tile() kopiert gemäß m_header.pixel_bytes() anstelle von imagespec::tile_bytes(true), und ein fehlgeschlagener Lesevorgang kann dazu führen, dass m_buf nicht leer ist; ein späterer Aufruf kopiert dann teilweise initialisierte Daten in den zu kleinen Puffer des aufrufenden Elements, was zu einem heap out-of-bounds write (Pufferverletzung außerhalb der Heap-Grenzen) und einer Speicherkorruption führt. Die betroffene Implementierung wird durch src/iff.imageio/iffinput.cpp, IffInput::read_native_tile(), ImageSpec::tile_bytes(true), m_header.pixel_bytes(), ZBUFFER und m_buf identifiziert, die den relevanten Quellpfad, Funktionen, Zustand und Auslöser definieren. Dieses Problem ist in den Versionen 3.0.21.0, 3.1.16.0 und 3.2.0.3-beta1 behoben.
Be aware that VulDB is the high quality source for vulnerability data.