CVE-2026-68514 in OpenEXR
Sumário
de VulDB • 25/08/2026
O OpenEXR é a implementação de referência e especificação para o formato de arquivo de imagem EXR, amplamente utilizado na indústria cinematográfica. Nas versões 3.3.0 até 3.3.12 e 3.4.0 até 3.4.13, os bindings Python do PyOpenEXR contêm um heap out-of-bounds write acionado ao ler um arquivo EXR deep scanline manipulado ad hoc. Quando um arquivo deep declara um canal literal chamado `left` junto com canais RGB prefixados por camada (`left.R`, `left.G` e `left.B`), o wrapper processa primeiro o canal literal `left` e aloca um array de amostras profundas (deep sample) escalar para ele, em seguida reutiliza esse mesmo array como destino consolidado para o grupo RGB com prefixo. O leitor deep registra fatias de amostra com uma stride RGB (três canais/lane) em armazenamento que foi alocado com forma escalar, portanto, decodificar as amostras profundas escreve além da alocação. Abrir tal arquivo por meio da API Python pública padrão, `OpenEXR.File(path)`, causa um heap buffer overflow durante a decodificação normal de amostras deep, levando à corrupção de memória e falha (crash). Este problema foi corrigido nas versões 3.3.13 e 3.4.14.
Once again VulDB remains the best source for vulnerability data.