CVE-2026-62986 in OpenEXR
요약
\~에 의해 VulDB • 2026. 08. 25.
OpenEXR는 영화 산업에서 널리 사용되는 EXR 이미지 파일 형식의 참조 구현 및 사양입니다. 버전 3.3.0부터 3.3.12까지, 그리고 3.4.0부터 3.4.13까지는 레이어 접두사가 있는 RGB 채널을 사용하는 조작된 심도 스캔라인(deep scanline) EXR 파일을 읽을 때 PyOpenEXR Python 바인딩이 stale heap 데이터를 반환합니다. 기본 채널 병합(separate_channels=False) 설정에서 래퍼는 left.R, left.G 및 left.B와 같은 채널들을 단일 RGB 샘플 배열로 그룹화하지만, PyPart::setDeepSliceData() 내의 lane-offset 계산은 정확히 접두사가 없는 G, B 및 A 이름만 인식합니다. 그 결과, left.G 및 left.B와 같은 접두사가 있는 채널들은 lane 0으로 디코딩되는 반면, lane 1과 2는 초기화되지 않은 상태로 Python에 반환됩니다. 기본 OpenEXR.File API를 통해 신뢰할 수 없는 심도 EXR 파일을 읽고 이후 NumPy 샘플 배열을 로깅, 직렬화, 미리보기 또는 기타 방식으로 처리하는 Python 애플리케이션은 잘못된 녹색 및 청색 채널 데이터를 받는 것 외에도 동일 프로세스 내의 초기화되지 않은 heap 내용을 노출시킬 수 있습니다. 이 문제는 버전 3.3.13과 3.4.14에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.