psd-tools DoS fix: memory exhaustion and decompression bomb mitigation

漏洞修复总结 漏洞概述 类型：拒绝服务（DoS）/ 资源耗尽漏洞 描述： 库在解析恶意构造的 PSD 文件时，存在两个主要问题： 1. 内存耗尽：未对解码后的图像尺寸进行限制，攻击者可构造声明了巨大尺寸（如 5000x30000）的 PSD 文件，导致程序尝试分配数 GB 内存，引发崩溃或系统资源耗尽。 2. 静默失败：当解码失败时，程序可能静默填充黑色像素或抛出难以处理的异常，而非明确报错。 影响范围 受影响组件： 库 受影响版本： 及之前版本（修复版本为 之后的提交，具体版本号需参考发布日志，截图显示对比基线为 v1.19.0） 触发条件：解析包含异常尺寸声明或损坏数据的 PSD 文件。 修复方案 本次提交（Commit ）引入了多层防御机制： 1. 引入硬性内存限制 ( )： 在 中定义 （默认值未显示，但逻辑为限制总分配字节数）。 在 和 中，计算 （假设 32-bit 像素），若超过 ，直接抛出 。 允许用户通过设置 自定义阈值。 2. 引入软性像素限制 ( )： 定义 （默认 300,000 300,000）。 若图像像素总数超过此阈值，抛出 警告（非致命错误，但提示风险）。 3. 压缩模块加固 ( )： 定义 （默认 16 1024 1024，即 16MB）。 定义 （默认 1000）。 在 函数中，检查解码后的数据长度。如果 或 ，抛出 ，防止解压炸弹。 4. 错误处理改进： 将静默失败改为显式抛出 ，错误信息明确指向“Failed to decode”或“exceeds safe thresholds”。 POC / 测试代码 截图中包含用于验证修复效果的测试代码（位于 ）： 关键测试点说明： : 验证极小文件声明巨大画布时，会抛出 而不是尝试分配内存。 : 验证当用户手动设置 为较小值（1024）时，即使是正常的小图片也会因超出预算而报错。

Goal Reached Thanks to every supporter — we hit 100%!

psd-tools DoS fix: memory exhaustion and decompression bomb mitigation

More from this source