Podatności libheif

Podatność w libheif (wersje do 1.23.0) pozwala na crash aplikacji przez specjalnie spreparowaną sekwencję HEIF, która nie rejestruje ścieżek śledzenia, co prowadzi do asercji lub niezdefiniowanego zachowania przy wywołaniu heif_context_get_track.

Podatność w bibliotece libheif (wersje 1.19.0 do 1.23.1) powodująca awarię aplikacji podczas dekodowania specjalnie spreparowanego obrazu HEIF z kompresją zlib. Błąd w obliczaniu offsetu prowadzi do odczytu poza zakresem i crasha.

Podatność w libheif (wersje do 1.23.0) pozwala na uszkodzenie pamięci (heap corruption) przez spreparowaną sekwencję obrazów z niezgodnymi wymiarami płaszczyzn alfa, co prowadzi do zapisu poza zakresem podczas kodowania.

Podatność w libheif (wersje do 1.23.0) pozwala na crash lub uszkodzenie wyników tiling przez spreparowany plik HEIF/AVIF z polem clean aperture, które redukuje wymiary do zera, powodując niedomiar i asercję lub błędne wyniki.

libheif w wersjach od 1.19.0 do 1.23.0 zawiera podatność na niekontrolowaną alokację pamięci w przypadku specjalnie spreparowanego pliku HEIF z sekwencją msf1. W Box_stsz::parse() limit max_sequence_frames jest stosowany tylko do próbek o zmiennym rozmiarze, a w Track::load() arytmetyka 32-bitowa może prowadzić do obejścia kontroli spójności. Może to spowodować alokację gigabajtów pamięci, co prowadzi do awarii lub zawieszenia procesu.

Biblioteka libheif w wersjach od 1.19.0 do 1.21.2 zawiera podatność polegającą na odczycie poza zakresem sterty (heap OOB read) w funkcji ImageItem_Grid::decode_grid_tile, spowodowaną niedomiarem współrzędnych kafelka wywołanym przez irot. Wersja 1.22.0 zawiera poprawkę.

Podatność w bibliotece libheif przed wersją 1.22.0. Podczas dekodowania złośliwego pliku HEIF bez właściwości `ispe` (ale z `uncC`) dochodzi do crasha w funkcji `heif_image_handle_get_image_tiling()` – w debug buildzie przez asercję, w release/ASan przez odczyt null pointera.

Podatność w libheif przed wersją 1.22.0 powoduje przepełnienie bufora sterty podczas odczytu plików HEIF/AVIF. Funkcja Track::init_sample_timing_table() zapisuje nieprawidłowy indeks fragmentu, co prowadzi do odczytu poza zakresem.

Podatność w libheif przed wersją 1.22.0. Łatka dla CVE-2026-3949 wprowadziła przepełnienie liczb całkowitych w sprawdzeniu bezpieczeństwa, co pozwala na ominięcie zabezpieczenia i wywołanie odczytu poza stertą (out-of-bounds heap read) przez spreparowany plik HEIF z ścieżką VVC.

Dwa błędy w bibliotece libheif przed wersją 1.22.0 umożliwiają wyciek pamięci sterty jako widoczne wartości pikseli w zdekodowanych obrazach siatki. Atakujący przesyłający spreparowany plik AVIF/HEIC do serwerowego procesora obrazów (WordPress, Sharp/libvips, ImageMagick itp.) może odzyskać dane sterty, w tym wskaźniki funkcji bibliotecznych wystarczające do pokonania ASLR, z publicznie dostępnego wyjścia JPEG/PNG/WebP.

Podatność w libheif w wersjach 1.19.0 do 1.21.2 pozwala na zapis poza zakresem sterty w dekoderze nieskompresowanych kafelków. Złośliwy plik HEIF może nadpisać wskaźnik vtable, co prowadzi do wykonania kodu.

W bibliotece libheif w wersjach do 1.21.2 występuje przepełnienie liczb całkowitych podczas przetwarzania maski inline w plikach HEIF. Iloczyn szerokości i wysokości może przekroczyć maksymalną wartość dla 32-bitowej liczby bez znaku, co prowadzi do alokacji zbyt małego bufora i odczytu poza jego granicami. Problem został naprawiony w wersji 1.22.0.

W libheif przed 1.22.0, specjalnie spreparowany plik HEIF z deklaracją większej liczby próbek niż faktycznie istnieje powoduje odczyt poza zakresem w konstruktorze SampleAuxInfoReader. Podatność jest wyzwalana podczas parsowania pliku.

W bibliotece libheif w wersjach 1.21.2 i wcześniejszych wykryto podatność na odczyt poza zakresem podczas parsowania sekwencji HEIF. Specjalnie spreparowany plik może spowodować odmowę usługi (DoS).

W bibliotece libheif w wersjach do 1.21.2 włącznie występuje przepełnienie bufora sterty w funkcji HeifPixelImage::overlay(). Podczas składania obrazu nakładki (iovl), którego obraz potomny ma różną głębię bitową dla kanału alfa i kanałów kolorów, funkcja indeksuje płaszczyznę alfa przy użyciu kroku kanału kolorów zamiast kroku alfa, co powoduje odczyty poza końcem bufora alfa.

W libheif przed wersją 1.22.0, podczas dekodowania obrazu HEIF w siatce z strict_decoding=false, uszkodzony kafelek cicho zawodzi, a biblioteka zwraca heif_error_Ok bez wskazania błędu, prowadząc do wycieku niezainicjalizowanej pamięci sterty. Pamięć dla Y, Cb i Cr nie jest zerowana, więc dane z sterty trafiają do pikseli.

libheif w wersjach 1.21.2 i niższych zawiera przepełnienie bufora sterty w funkcji MaskImageCodec::decode_mask_image(). Podczas dekodowania pliku HEIF z obrazem maski, długość kopiowanych danych jest kontrolowana przez atakującego i może przekroczyć rozmiar bufora docelowego.

libheif to biblioteka do dekodowania i kodowania formatów HEIF i AVIF. Wersje 1.21.2 i starsze zawierają podatność na zapis poza dozwolonym obszarem pamięci sterty podczas składania kafelków siatki. Atakujący może dostarczyć plik HEIF/AVIF z siatką 1×4 kafelków o nieparzystej wysokości, co powoduje zapis 64 bajtów danych sterowanych przez atakującego poza przydzieloną pamięć.

Biblioteka libheif w wersjach 1.21.2 i niższych zawiera podatność na atak DoS (Denial of Service) poprzez nieskończoną pętlę w funkcji Box_stts::get_sample_duration(). Specjalnie spreparowany plik HEIF o rozmiarze 800 bajtów powoduje 100% użycie CPU bez postępu, co prowadzi do odmowy usługi. Problem występuje podczas otwierania pliku, przed jakąkolwiek interakcją użytkownika.

W libheif (wersje 1.21.2 i starsze) spreparowany plik HEIF z samples_per_chunk=0 w boxie stsc powoduje niedomiar liczby całkowitej bez znaku w konstruktorze Chunk, co prowadzi do odczytu poza zakresem i awarii (SEGV) przy pierwszym dostępie do ramki. Plik parsuje się bez błędu, ale crash następuje przy próbie wyświetlenia.