CVE-2026-21486
WysokieStreszczenie
Biblioteka iccDEV w wersjach 2.3.1.1 i starszych zawiera podatności typu Use After Free, przepełnienie bufora na stercie, przepełnienie liczby całkowitej oraz zapis poza zakresem w funkcji CIccSparseMatrix::CIccSparseMatrix. Luka została naprawiona w wersji 2.3.1.2.
Ocena ryzyka
Podatności mogą prowadzić do zdalnego wykonania kodu, awarii aplikacji lub naruszenia integralności danych w systemach przetwarzających profile kolorów ICC. Organizacje używające iccDEV są narażone na ataki wykorzystujące specjalnie spreparowane pliki profili.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki iccDEV do wersji 2.3.1.2 lub nowszej. Należy również ograniczyć przetwarzanie niezaufanych profili ICC i monitorować systemy pod kątem anomalii.
Inne podatności w iccDEV
Zobacz wszystkie- CVE-2026-24412Wysokie
Biblioteka iccDEV w wersjach 2.3.1.1 i starszych zawiera podatność przepełnienia bufora na stercie w funkcji CIccTagXmlSegmentedCurve::ToXml(). Podatność występuje, gdy dane sterowane przez użytkownika są niebezpiecznie włączane do danych profilu ICC lub innych binarnych bloków. Udane wykorzystanie może pozwolić atakującemu na przeprowadzenie DoS, manipulację danymi, obejście logiki aplikacji i wykonanie kodu. Problem naprawiono w wersji 2.3.1.2.
- CVE-2026-24411Wysokie
Biblioteka iccDEV w wersjach 2.3.1.1 i starszych zawiera podatność niezdefiniowanego zachowania w funkcji CIccTagXmlSegmentedCurve::ToXml(). Podatność występuje, gdy dane sterowane przez użytkownika są niebezpiecznie włączane do danych profilu ICC lub innych binarnych bloków. Udane wykorzystanie może pozwolić atakującemu na przeprowadzenie DoS, manipulację danymi, obejście logiki aplikacji i wykonanie kodu. Problem naprawiono w wersji 2.3.1.2.
- CVE-2026-24410Wysokie
Biblioteka iccDEV w wersjach 2.3.1.1 i starszych zawiera podatność niezdefiniowanego zachowania i dereferencji wskaźnika null w funkcji CIccProfileXml::ParseBasic(). Podatność występuje, gdy dane sterowane przez użytkownika są niebezpiecznie włączane do danych profilu ICC lub innych binarnych bloków. Udane wykorzystanie może pozwolić atakującemu na przeprowadzenie DoS, manipulację danymi, obejście logiki aplikacji i wykonanie kodu. Problem naprawiono w wersji 2.3.1.2.
- CVE-2026-24409Wysokie
Biblioteka iccDEV w wersjach 2.3.1.1 i starszych zawiera podatność niezdefiniowanego zachowania i dereferencji wskaźnika null w funkcji CIccTagXmlFloatNum<>::ParseXml(). Podatność występuje, gdy dane sterowane przez użytkownika są niebezpiecznie włączane do danych profilu ICC lub innych binarnych bloków. Udane wykorzystanie może pozwolić atakującemu na przeprowadzenie DoS, manipulację danymi, obejście logiki aplikacji i wykonanie kodu. Problem naprawiono w wersji 2.3.1.2.
- CVE-2026-24407Wysokie
Biblioteka iccDEV w wersjach 2.3.1.1 i starszych zawiera podatność niezdefiniowanego zachowania w funkcji icSigCalcOp(). Podatność występuje, gdy dane sterowane przez użytkownika są niebezpiecznie włączane do danych profilu ICC lub innych binarnych bloków. Udane wykorzystanie może pozwolić atakującemu na przeprowadzenie DoS, manipulację danymi, obejście logiki aplikacji i wykonanie kodu. Problem naprawiono w wersji 2.3.1.2.
- CVE-2026-24406Wysokie
Biblioteka iccDEV w wersjach 2.3.1.1 i starszych zawiera podatność przepełnienia bufora na stercie w funkcji CIccTagNamedColor2::SetSize(). Podatność występuje, gdy dane sterowane przez użytkownika są niebezpiecznie włączane do danych profilu ICC lub innych binarnych bloków. Udane wykorzystanie może pozwolić atakującemu na przeprowadzenie DoS, manipulację danymi, obejście logiki aplikacji i wykonanie kodu. Problem naprawiono w wersji 2.3.1.2.
- CVE-2026-24405Wysokie
Biblioteka iccDEV w wersjach 2.3.1.1 i starszych zawiera podatność przepełnienia bufora na stercie w funkcji CIccMpeCalculator::Read(). Podatność występuje, gdy dane sterowane przez użytkownika są niebezpiecznie włączane do danych profilu ICC lub innych binarnych bloków. Udane wykorzystanie może pozwolić atakującemu na przeprowadzenie DoS, manipulację danymi, obejście logiki aplikacji i wykonanie kodu. Problem naprawiono w wersji 2.3.1.2.
- CVE-2026-24404Wysokie
Biblioteka iccDEV w wersjach 2.3.1.1 i starszych zawiera podatność dereferencji wskaźnika null i niezdefiniowanego zachowania w CIccXmlArrayType(). Podatność występuje, gdy dane sterowane przez użytkownika są niebezpiecznie włączane do danych profilu ICC lub innych binarnych bloków. Udane wykorzystanie może pozwolić atakującemu na przeprowadzenie DoS, manipulację danymi, obejście logiki aplikacji i wykonanie kodu. Problem naprawiono w wersji 2.3.1.2.
- CVE-2026-24403Wysokie
Biblioteka iccDEV w wersjach 2.3.1.1 i starszych zawiera podatność przepełnienia liczby całkowitej w funkcji icValidateStatus CIccProfile::CheckHeader(), gdy dane sterowane przez użytkownika są niebezpiecznie włączane do danych profilu. Modyfikacja tablic tagów, przesunięć lub pól rozmiaru może wywołać błędy parsowania, uszkodzenie pamięci lub DoS, potencjalnie umożliwiając wykonanie dowolnego kodu lub obejście logiki aplikacji. Problem naprawiono w wersji 2.3.1.2.
- CVE-2026-22861Wysokie
Biblioteka iccDEV przed wersją 2.3.1.2 zawiera podatność na przepełnienie bufora w pamięci sterty w funkcji SIccCalcOp::Describe() w pliku IccProfLib/IccMpeCalc.cpp. Podatność dotyczy użytkowników przetwarzających profile kolorów ICC.
Oryginalny opis (angielski, źródło NVD)
iccDEV provides a set of libraries and tools for working with ICC color management profiles. Versions 2.3.1.1 and below contain Use After Free, Heap-based Buffer Overflow and Integer Overflow or Wraparound and Out-of-bounds Write vulnerabilities in its CIccSparseMatrix::CIccSparseMatrix function. This issue is fixed in version 2.3.1.2.