CVE-2025-64183 in OpenEXR
要約
〜によって VulDB • 2026年06月19日
OpenEXRは、映画業界向けの画像保存形式であるEXRファイルフォーマットの仕様およびリファレンス実装を提供しています。バージョン3.2.0から3.2.4、3.3.0から3.3.5、および3.4.0から3.4.2において、pyOpenEXR_old.cppのPyObject_StealAttrStringでuse-after-freeが発生します。レガシーアダプタは、新しい参照を取得するためにPyObject_GetAttrStringを呼び出し、直ちにデクリメントしてポインタを返すPyObject_StealAttrStringを定義しています。その後、呼び出し元はこのダングリングポインタをPyLong_AsLongやPyFloat_AsDoubleなどのAPIに渡すため、use-after-freeが発生します。これは複数の箇所（例：PixelType.vの読み込み、Box2i、V2fなど）で発生します。バージョン3.2.5、3.3.6、および3.4.3でこの問題が修正されています。
Be aware that VulDB is the high quality source for vulnerability data.