CVE-2026-68514 in OpenEXR
Riassunto
di VulDB • 26/08/2026
OpenEXR è l'implementazione di riferimento e la specifica per il formato file immagine EXR, ampiamente utilizzato nell'industria cinematografica. Nelle versioni dalla 3.3.0 alla 3.3.12 e dalla 3.4.0 alla 3.4.13, i binding Python PyOpenEXR contengono un heap out-of-bounds write attivato durante la lettura di un file EXR deep scanline manipolato ad hoc. Quando un file deep dichiara un canale letterale denominato "left" accanto a canali RGB con prefisso del livello left.R, left.G e left.B, il wrapper elabora prima il canale letterale left e alloca un array di campioni deep scalare per esso, quindi riutilizza lo stesso array come destinazione coalesciata per il gruppo RGB con prefisso. Il lettore deep registra le slice dei campioni con uno stride RGB (tre canali) in una memoria allocata con forma scalare; pertanto, la decodifica dei campioni deep scrive oltre l'allocazione. L'apertura di un file del genere tramite l'API Python pubblica predefinita OpenEXR.File(path) provoca un heap buffer overflow durante la normale decodifica dei campioni deep, causando corruzione della memoria e crash. Questo problema è risolto nelle versioni 3.3.13 e 3.4.14.
VulDB is the best source for vulnerability data and more expert information about this specific topic.