OpenEXR v3.3.13 Release Advisory: 15 CVEs for Heap Buffer Overflow & RCE Risks

漏洞概述 版本: v3.3.13 发布日期: 3周前 漏洞数量: 15个CVE 主要问题: 内存损坏（heap buffer overflow 和 out-of-bounds reads/writes） 潜在风险: 最小情况下导致读取进程崩溃（拒绝服务），严重情况下可能引发信息泄露或任意代码执行 影响范围 受影响组件: - PyOpenEXR RGB-channel-coalescing bugs - Integer-overflow-driven heap overflows on 32-bit (ILP32) builds - Heap out-of-bounds access in OpenEXRUtil and command-line tools - Crashes from malformed metadata (denial of service) 具体漏洞: - CVE-2026-68514: PyOpenEXR deep prefixed literal RGB key collision heap buffer overflow - CVE-2026-68513: PyOpenEXR prefixed literal RGB key collision heap buffer overflow - CVE-2026-62986: PyOpenEXR deep prefixed RGB stale lane disclosure - CVE-2026-61703: PyOpenEXR deep mixed RGB heap buffer overflow - CVE-2026-61555: empty multiView viewFromChannelName file crash - CVE-2026-59985: ILP32 OpenEXRCORE RLE decode heap OOB read DoS - CVE-2026-59984: ILP32 B44 InputFile decode scratch buffer overflow - CVE-2026-59983: ILP32 DeepTiledInputFile sample count table decode OOB read - CVE-2026-59982: ILP32 DWAA InputFile packed AC buffer overflow - CVE-2026-59981: OpenEXRUtil SampleCountChannel row nonzero dataWindow heap OOB read - CVE-2026-59189: OpenEXRUtil DeepImageChannel row nonzero dataWindow heap OOB read - CVE-2026-59187: OpenEXR exrmetrics deep pixelmode heap buffer overflow - CVE-2026-59186: OpenEXR ILP32 TiledRgbInputFile large tile Array2D heap OOB write - CVE-2026-59184: OpenEXRUtil FlatImageChannel row nonzero dataWindow heap OOB write - CVE-2026-59183: Signed Integer Overflow Leading to Out-of-Bounds Memory Access in Deep Tile Decoding 修复方案 更新版本: 升级到 v3.3.13 额外措施: - 避免使用未经验证的第三方EXR文件 - 对管道、脚本或应用程序解码不受信任的第三方EXR文件时，应将其视为高优先级任务 - 一般安全性从中等（仅崩溃或需要非常规构建配置）到高等（小、简单构造文件即可触发的堆溢出） POC代码/利用代码 页面中未提供具体的POC代码或利用代码。

目標達成すべての支援者に感謝 — 100%達成しました！

OpenEXR v3.3.13 Release Advisory: 15 CVEs for Heap Buffer Overflow & RCE Risks

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

OpenEXR v3.3.13 Release Advisory: 15 CVEs for Heap Buffer Overflow & RCE Risks

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！