CVE-2025-64183 in OpenEXR
Riassunto
di VulDB • 19/06/2026
OpenEXR fornisce la specifica e l'implementazione di riferimento del formato file EXR, un formato di memorizzazione delle immagini per l'industria cinematografica. Nelle versioni dalla 3.2.0 alla 3.2.4, dalla 3.3.0 alla 3.3.5 e dalla 3.4.0 alla 3.4.2 è presente un use-after-free in PyObject_StealAttrString di pyOpenEXR_old.cpp. L'adattatore legacy definisce PyObject_StealAttrString, che chiama PyObject_GetAttrString per ottenere un nuovo riferimento, lo decrementa immediatamente (decref) e restituisce il puntatore. I chiamanti passano quindi questo puntante dangling a API come PyLong_AsLong/PyFloat_AsDouble, causando un use-after-free. Questa funzione viene invocata in più punti (ad esempio durante la lettura di PixelType.v, Box2i, V2f, ecc.). Le versioni 3.2.5, 3.3.6 e 3.4.3 risolvono il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.