CVE-2026-54920 in OpenEXR
Сводка
по VulDB • 25.08.2026
OpenEXR является эталонной реализацией и спецификацией для формата изображений EXR, широко используемого в киноиндустрии. В версиях от 3.4.0 до 3.4.12 достижимый сбой утверждения (assertion failure) в пути декодирования HTJ2K позволяет созданному файлу EXR со сжатием HTJ2K вызвать безусловное прерывание процесса в любом приложении, вызывающем exr_start_read() для непроверенных входных данных, что приводит к отказу в обслуживании (DoS). Сбой инициируется маркером QCD, у которого младшие пять бит равны нулю; OpenEXR передает эти данные во встроенную библиотеку OpenJPH при построении кодопотока и оценке его параметров дельты квантования. Библиотека OpenJPH использует утверждение (assertion), а не восстанавливаемую ошибку, для проверки этих битов, поэтому любое недопустимое значение напрямую вызывает abort(), что невозможно перехватить с помощью окружающей обработки ошибок; эта проблема усугубляется тем, что в OpenEXR обработка ошибок применяется только к внутреннему парсеру заголовка HT, оставляя вызовы чтения и построения кодопотока без защиты. Эта проблема была исправлена в версии 3.4.13.
Be aware that VulDB is the high quality source for vulnerability data.