CVE-2026-68515 in OpenEXR
Zusammenfassung
von VulDB • 25.08.2026
OpenEXR ist die Referenzimplementierung und Spezifikation für das EXR-Bildformat, das in der Filmindustrie weit verbreitet ist. In den Versionen vor 3.2.11, von 3.3.0 bis 3.3.12 sowie von 3.4.0 bis 3.4.13 kann exrmultiview über eine Heap-Allokation hinausschreiben (Heap Out-of-Bounds Write), wenn es zwei vom Angreifer bereitgestellte, einzeln gültige Scanline-EXR-Dateien kombiniert, deren vereinigte dataWindow nicht an die Kanalunterabtastung einer Ansicht angepasst ist. Das Dienstprogramm alloziert den Speicher für abgetastete Kanäle basierend auf einem abgeschnittenen Wert von union_width / xSampling und liest dann die abgetasteten Eingaben über einen Slice, der dem fehlalinierten vereinigten Fenster entspricht, was zu einem Heap Out-of-Bounds Write führt. Der Auslöser ist eine normale Verarbeitung durch öffentliche Tools, wie z. B. exrmultiview left A.exr right B.exr out.exr mit gefälschten, aber gültigen Eingaben; dies ist also nicht ausschließlich ein Problem der API oder von Aufrufer-Voraussetzungen (caller-precondition). Dieses Problem wurde in den Versionen 3.2.11, 3.3.13 und 3.4.14 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.