CVE-2022-43600

OpenImageIO versão 2.4.4.2

Existem várias vulnerabilidades de execução de código na funcionalidade IFFOutput::close() do OpenImageIO. Um objeto ImageOutput especialmente criado pode levar a um estouro de buffer de heap. Esse problema ocorre quando a variável xmax é definida como 0xFFFF e m spec.format é TypeDesc::UINT16. Um invasor pode fornecer entradas maliciosas para acionar essas vulnerabilidades, permitindo potencialmente o acesso remoto a dados confidenciais, a violação da integridade dos dados e a negação de serviço.

Para a versão 2.4.4.2 do OpenImageIO, considere desativar a função IFFOutput::close() até que um patch esteja disponível para impedir a exploração. Restrinja o acesso ao componente IFFOutput para minimizar o risco de exploração. Evite usar a variável xmax com o valor 0xFFFF e m spec.format definido como TypeDesc::UINT16 no objeto ImageOutput afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.