GIMP DDS (DirectDraw Surface) file parser の脆弱性(CVE-2026-42170・CVSS 7.8)

概要

GIMP DDS (DirectDraw Surface) file parser に脆弱性 (CVE-2026-42170) が存在。悪用されるとシステム全体を乗っ取られる可能性があります。

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

A heap-based buffer overflow vulnerability exists in the GIMP DDS (DirectDraw Surface) file parser. When a crafted DDS file declares a D3D9 pixel format but sets a lower bits-per-pixel (bpp) value in the header, the loader allocates an undersized heap buffer. Subsequent pixel data consumption at the real format's stride causes a write past the heap buffer boundary, leading to heap metadata corruption and potential code execution.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

GIMPのDDSファイルパーサーにヒープベースのバッファオーバーフローの脆弱性があります。不正なDDSファイルがD3D9ピクセルフォーマットを宣言しながら、ヘッダーに低いビット/ピクセル値を設定すると、ヒープバッファの境界を超えて書き込みが行われます。これにより、メタデータ破損やコード実行の可能性があります。

❓ 何が問題か

GIMPのDDSファイルパーサーでヒープベースのバッファオーバーフローが発生する。

📍 影響範囲

GIMPのDDSファイルパーサー

🔥 重要度

ヒープメタデータの破損や潜在的なコード実行につながる。

🔧 修正方法

GIMPのパッチが公開された際には、速やかにアップデートを適用する。

🛡️ 暫定回避

DDSファイルの取り扱いを制限し、信頼できるソースからのみファイルを取得する。

🔍 検知方法

不正なピクセルフォーマットを持つDDSファイルの解析をモニターし、不正なファイルの取り扱いを防止する。

ディストリビューション別の修正状況

各ディストリビューションが公開している、この CVE の修正パッケージ

Debian DEBIAN-CVE-2026-42170 gimp
Ubuntu UBUNTU-CVE-2026-42170 gimp