CVE-2026-62986 in OpenEXR
要約
〜によって VulDB • 2026年08月25日
OpenEXRは、映画業界で広く使用されているEXR画像ファイル形式の参照実装および仕様です。バージョン3.3.0から3.3.12、および3.4.0から3.4.13では、レイヤー接頭辞付きRGBチャネルを使用する不正なディープスキャンラインEXRを読み込む際に、PyOpenEXR Pythonバインディングが古くなったヒープデータを返します。デフォルトのチャネル結合（separate_channels=False）の場合、ラッパーはleft.R、left.G、およびleft.Bなどのチャネルを単一のRGBサンプル配列にグループ化しますが、PyPart::setDeepSliceData()内のレーンオフセット計算では、接頭辞なしの正確な名前であるG、B、Aのみが認識されます。その結果、left.Gやleft.Bのような接頭辞付きチャネルはレーン0にデコードされる一方、レーン1と2は未初期化のままPythonに戻されます。デフォルトのOpenEXR.File APIを通じて信頼できないディープEXRファイルを読み込み、その後生成されたNumPyサンプル配列をログ出力、シリアライズ、プレビュー、またはその他の処理を行うPythonアプリケーションは、誤った緑および青チャネルデータを受け取るだけでなく、同じプロセス内のヒープ領域の未初期化コンテンツも露出する可能性があります。この問題はバージョン3.3.13および3.4.14で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.