CVE-2026-32739
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Biblioteka libheif w wersjach 1.21.2 i niższych zawiera podatność na atak DoS (Denial of Service) poprzez nieskończoną pętlę w funkcji Box_stts::get_sample_duration(). Specjalnie spreparowany plik HEIF o rozmiarze 800 bajtów powoduje 100% użycie CPU bez postępu, co prowadzi do odmowy usługi. Problem występuje podczas otwierania pliku, przed jakąkolwiek interakcją użytkownika.
Ocena ryzyka
Ryzyko polega na możliwości łatwego przeprowadzenia ataku DoS na systemy korzystające z libheif, co może prowadzić do niedostępności usług i przeciążenia zasobów.
Rekomendacja
Zaleca się aktualizację biblioteki libheif do wersji 1.22.0 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
libheif is a HEIF and AVIF file format decoder and encoder. In versions 1.21.2 and below, a crafted 800-byte HEIF sequence file causes an infinite loop in Box_stts::get_sample_duration(), consuming 100% CPU indefinitely with zero progress, leading to DoS. The loop has no iteration limit or timeout and is triggered during file open (parsing) - before any user interaction or image decoding. The process stays alive (no crash, no error logged), making it invisible to crash-based monitoring. This issue has been fixed in version 1.22.0.