CVE-2026-123614
KrytyczneCVSS 9.8Streszczenie
W imgproxy od wersji 4.0.0 do 4.0.16 występuje przepełnienie liczb całkowitych w loaderze ICO, które pozwala zdalnym atakującym wywołać przepełnienie bufora sterty poprzez spreparowaną wartość data_size. Atakujący może przesłać spreparowany obraz ICO, w którym data_size powoduje zawinięcie alokacji w vips/icoload.c, uszkadzając pamięć sterty, co prowadzi do awarii procesu lub wykonania kodu.
Ocena ryzyka
Podatność może doprowadzić do zdalnego wykonania kodu lub awarii usługi przetwarzania obrazów, co stanowi poważne zagrożenie dla poufności i dostępności systemu.
Rekomendacja
Zaktualizuj imgproxy do wersji 4.0.16 lub nowszej. Do czasu aktualizacji rozważ ograniczenie przyjmowania obrazów ICO od niezaufanych źródeł.
Inne podatności w imgproxy
Zobacz wszystkie- CVE-2026-123616Wysokie
imgproxy od wersji 3.3.0 do 4.0.16 zawiera podatność na nieograniczoną alokację pamięci w loaderze ICO, który nie waliduje pola data_size. Atakujący mogą dostarczyć spreparowany 23-bajtowy plik ICO deklarujący data_size około 4 GB, aby wywołać wyczerpanie pamięci i awarie procesów roboczych bez uwierzytelniania.
- CVE-2026-123615Wysokie
imgproxy od wersji 3.3.0 do 4.0.17 zawiera podatność na odczyt i zapis poza granicami sterty w rekonstrukcji nagłówka BMP loadera ICO (vips_foreign_load_ico_header w vips/icoload.c), gdy wpis ICO deklaruje bardzo mały rozmiar danych, powodując odczyt i zapis niezwalidowanych pól nagłówka poza zaalokowanym buforem. Nieuwierzytelnieni zdalni atakujący mogą dostarczyć spreparowany obraz ICO, aby uszkodzić metadane sąsiednich fragmentów sterty, wywołując przerwanie glibc i awarię procesu roboczego.
- CVE-2026-105708Średnie
W imgproxy do wersji 4.0.17 wykryto podatność w funkcji sanitizeElement w pliku processing/svg/svg.go obsługującej SVG. Manipulacja danymi wejściowymi prowadzi do cross site scripting (XSS), a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; projekt nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
imgproxy from 4.0.0 before 4.0.16 contains an integer overflow in the ICO loader that allows remote attackers to trigger a heap buffer overflow via a crafted data_size value. Attackers can submit a crafted ICO image whose data_size wraps the allocation in vips/icoload.c, corrupting heap memory to crash the process or achieve code execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS