CVE-2026-120251

ŚrednieCVSS 5.5

Opublikowano: 01/11/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 01/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.12%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Biblioteka imagecodecs w wersjach od 2026.3.6 do 2026.10.10 zawiera podatność na nieskończoną pętlę w funkcji ccitt_fax4_decode_size(). Atakujący może dostarczyć spreparowany strumień CCITT Group 4 bez znacznika EOFB, co powoduje zawieszenie procesu i pełne zużycie CPU.

Ocena ryzyka

Złośliwy plik może spowodować zawieszenie procesu przetwarzającego dane i wyczerpanie zasobów CPU. Prowadzi to do odmowy usługi w aplikacjach dekodujących niezaufane obrazy faksowe.

Rekomendacja

Zaktualizuj imagecodecs do wersji z poprawką. Do czasu aktualizacji ogranicz przetwarzanie niezaufanych strumieni CCITT Group 4.

Inne podatności w imagecodecs

CVE-2026-120252Średnie
Biblioteka imagecodecs w wersjach od 2023.1.23 do 2026.10.10 zawiera przepełnienie bufora na stosie w parserze tabel Huffmana bezstratnego JPEG w funkcji decode_jpegsof3(). Złośliwy plik może spowodować przepełnienie tablic HufVal i HufSz na stosie i zawieszenie procesu wywołującego.

Oryginalny opis (angielski, źródło NVD)

imagecodecs 2026.3.6 through 2026.10.10 contains an infinite loop vulnerability in ccitt_fax4_decode_size() that allows attackers to hang the calling process by supplying a crafted CCITT Group 4 stream. Attackers can provide an 8-byte G4 stream lacking EOFB to ccittfax4_decode() or the numcodecs Ccittfax4 codec, consuming full CPU until the process is killed.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS