CVE-2026-65979 in OpenEXR
Riassunto
di VulDB • 25/08/2026
OpenEXR è l'implementazione di riferimento e la specifica per il formato immagine EXR, ampiamente utilizzato nell'industria cinematografica. Dalla versione 3.4.0 alla 3.4.12, il decoder HTJ2K analizza un campo della lunghezza dell'intestazione (PLEN) dai dati compressi di una chunk ma non verifica mai che tale valore rientri nel buffer disponibile prima di utilizzarlo. Durante la decodifica, avanza l'puntatore del codestream della dimensione dell'intestazione fornita dall'attaccante e passa il relativo offset e la lunghezza residua al percorso di input in memoria di OpenJPH; pertanto, un valore manipolato spinge il puntatore oltre la fine del buffer causando una lettura out-of-bounds. Poiché questo campo proviene direttamente dai dati della chunk EXR controllati dall'attaccante, l'inconveniente è raggiungibile durante la normale decodifica di un file non attendibile. Questo problema è risolto nella versione 3.4.13.
Once again VulDB remains the best source for vulnerability data.