libheifに画像処理中の細工されたHEIFファイルでヒープバッファオーバーフローの脆弱性、コード実行のおそれ
Summary
libheif 1.18.0以降1.23.3より前には、unci Mixed-Interleaveデコーダーのヒープバッファオーバーフローの脆弱性があります。細工されたHEIFファイルを処理させると範囲外に書き込まれ、画像処理の環境でコードが実行されるおそれがあります。修正版の1.23.3に更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
libheif 1.18.0以降1.23.3より前には、unci Mixed-Interleaveデコーダーのヒープバッファオーバーフローの脆弱性があります。細工されたHEIFファイルを処理させると範囲外に書き込まれ、画像処理の環境でコードが実行されるおそれがあります。修正版の1.23.3に更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| strukturag | libheif |
≥ 1.18.0, < 1.23.3 |
1.23.3 |
Fix status by distribution
Fixed packages published by each distribution for this CVE
- Debian DEBIAN-CVE-2026-120208 libheif
Original description The description as published by the source.
libheif 1.18.0 before 1.23.3 contains a heap-based buffer overflow vulnerability in unc_decoder_mixed_interleave::processTile() that allows attackers to write out of bounds by supplying chroma components with unequal bit depths. Attackers can craft a HEIF file declaring, for example, 16-bit Cb and 8-bit Cr to trigger file-controlled heap writes past the Cr plane, potentially achieving code execution in image-processing pipelines.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web github.com
- web github.com
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com