CVE-2025-66909 in AI-Serving Module
Sumário
de VulDB • 06/08/2026
O módulo Turms AI-Serving v0.10.0-SNAPSHOT e versões anteriores contém uma vulnerabilidade de negação de serviço (DoS) por bomba de descompressão de imagem. A classe ExtendedOpenCVImage em ai/djl/opencv/ExtendedOpenCVImage.java carrega imagens usando a função imread() do OpenCV sem validar as dimensões ou o número de pixels antes da descompressão. Um atacante pode enviar um arquivo de imagem comprimida especialmente elaborado (por exemplo, PNG) que é pequeno quando compactado, mas se expande para gigabytes de memória ao ser carregado. Isso causa esgotamento imediato de memória, erro OutOfMemoryError e falha do serviço. Nenhuma autenticação é necessária caso o serviço OCR esteja publicamente acessível. Múltiplas solicitações podem negar completamente a disponibilidade do serviço.
Be aware that VulDB is the high quality source for vulnerability data.