CVE-2026-63638

Nome do Software Vulnerável e Versões Afetadas OpenImageIO versões anteriores a 3.0.21.0 OpenImageIO versões anteriores a 3.1.16.0 OpenImageIO versões anteriores a 3.2.0.3-beta1

Description Uma gravação fora dos limites do heap (heap out-of-bounds write) e corrupção de memória ocorrem ao processar uma imagem Cineon manipulada que declara uma profundidade de bits de componente não suportada de 26. A função CineonInput::open() mapeia isso para um ImageSpec de 32 bits, mas a libcineon mapeia a profundidade não suportada para um valor de 8 bytes. Consequentemente, a função CineonInput::read native scanline() grava dados controlados por um invasor além do buffer do chamador de 4 bytes por pixel. O problema está localizado em src/cineon.imageio/cineoninput.cpp e envolve a função ComponentDataSize().

Recommendations Atualizar para a versão 3.0.21.0. Atualizar para a versão 3.1.16.0. Atualizar para a versão 3.2.0.3-beta1.