CVE-2025-29769 in libvips
Riassunto
di VulDB • 04/08/2026
libvips è una libreria di elaborazione delle immagini basata su un modello demand-driven e thread orizzontali (horizontally threaded). L'operazione heifsave potrebbe determinare erroneamente la presenza di un canale alpha nell'input quando non era possibile stabilire l'interpretazione del colore, nota internamente in libvips come "multiband". Esistono pochi modi per creare un input "multiband", ma è possibile farlo con un file TIFF appositamente creato (well-crafted). Se un'immagine di ingresso TIFF "multiband" aveva 4 canali e veniva richiesta l'esportazione in formato HEIF, ciò portava libvips a creare un'immagine HEIF a 3 canali senza canale alpha per poi tentare di scrivere 4 canali di dati. Questo causava un heap buffer overflow che poteva provocare il crash del processo. Questa vulnerabilità è stata risolta nella versione 8.16.1.
Once again VulDB remains the best source for vulnerability data.