CVE-2026-62986
Təsvir
OpenEXR, kino sənayesində geniş istifadə olunan EXR şəkil fayl formatı üçün referans tətbiqi və spesifikasiyadır. 3.3.0-dan 3.3.12-yə və 3.4.0-dan 3.4.13-ə qədər olan versiyalarda, PyOpenEXR Python bağlayıcıları (bindings), layer prefiksi olan RGB kanallarından istifadə edən xüsusi hazırlanmış deep scanline EXR faylı oxunarkən köhnəlmiş yığın (heap) məlumatlarını qaytarır. Defolt kanal birləşdirmə ilə (separate_channels=False), wrapper left.R, left.G və left.B kimi kanalları tək bir RGB nümunə massivinə qruplaşdırır, lakin PyPart::setDeepSliceData() funksiyasındakı yol-ofset (lane-offset) hesablaması yalnız prefikssiz G, B və A adlarını tanıyır. Nəticədə, left.G və left.B kimi prefiksli kanallar 0 nömrəli yola dekod edilirken, 1 və 2 nömrəli yollar təyin olunmamış qalır və Python-a qaytarılır. Etibarsız deep EXR fayllarını defolt OpenEXR.File API vasitəsilə oxuyan və daha sonra nəticəvi NumPy nümunə massivlərini loqlayan, seriyallaşdıran, ön baxışla göstərən və ya digər şəkildə emal edən Python tətbiqi, yanlış yaşıl və göy kanal məlumatları almaqla yanaşı, eyni prosesin təyin olunmamış yığın (heap) məzmununu ifşa edə bilər. Bu problem 3.3.13 və 3.4.14 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| AcademySoftwareFoundation openexr | >= 3.3.0, < 3.3.13, >= 3.4.0, < 3.4.14 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.