CVE-2022-43601

OpenImageIO versão 2.4.4.2

Existem várias vulnerabilidades de execução de código na funcionalidade IFFOutput::close(). Um objeto ImageOutput especialmente criado pode levar a um estouro de buffer de heap. Um invasor pode fornecer uma entrada maliciosa para acionar essas vulnerabilidades, que surgem quando a variável ymax é definida como 0xFFFF e m spec.format é TypeDesc::UINT16. Isso pode permitir que um invasor remoto acesse dados confidenciais, comprometa sua integridade e cause uma negação de serviço usando um arquivo especialmente criado.

Para a versão 2.4.4.2 do OpenImageIO, considere desativar a função IFFOutput::close() até que um patch esteja disponível para impedir a exploração. Restrinja o acesso ao componente IFFOutput para minimizar o risco de exploração. Evite usar a variável ymax com o valor 0xFFFF e m spec.format definido como TypeDesc::UINT16 na funcionalidade afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.