CVE-2026-53532
Açıklama
OpenEXR, hareketli görüntü endüstrisinde yaygın olarak kullanılan EXR görüntü formatının referans uygulaması ve spesifikasyonudur. 3.4.0 ile 3.4.12 sürümleri arasında, hazırlanmış bir HTJ2K ile sıkıştırılmış EXR dosyası, güvenilmeyen girdi üzerinde exr_start_read() çağrısı yapan herhangi bir uygulamada koşulsuz süreç iptaline neden olarak hizmet reddi ile sonuçlanır. Çökme, alt beş biti sıfır olan bir QCD işaretçisi tarafından tetiklenir; OpenEXR bu işaretçiyi kod akışını oluştururken ve nicemleme delta parametrelerini değerlendirirken gömülü OpenJPH kütüphanesine aktarır. OpenJPH bu bitleri doğrulamak için kurtarılabilir bir hata yerine bir doğrulama kullanır, bu nedenle herhangi bir geçersiz değer doğrudan abort() çağrısına yol açar ve çevredeki hata işleme tarafından yakalanamaz; bu sorun, OpenEXR'nin yalnızca dahili HT başlık ayrıştırıcısını hata işleme ile sarmalarken sonraki kod akışı okuma ve oluşturma çağrılarını korumasız bırakmasıyla daha da kötüleşir. Bu sorun 3.4.13 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| AcademySoftwareFoundation openexr | >= 3.4.0, < 3.4.13 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.