CVE-2026-96280

Nome do Software Vulnerável e Versões Afetadas Red Hat Enterprise Linux (versões afetadas não especificadas)

Descrição O analisador de stream delta OCI lê tamanhos como guint64, mas os passa para funções de alocação e E/S do GLib que esperam gsize. Em sistemas de 32 bits, o gsize possui 32 bits, o que causa alocações de memória insuficientes. Como as operações subsequentes continuam a usar o tamanho original de 64 bits, ocorrem transbordamentos de buffer de heap (heap buffer overflows). Um invasor que controle um registro OCI pode criar um stream delta malicioso para disparar esse problema durante a instalação ou atualização do flatpak, potencialmente permitindo a execução de código arbitrário em sistemas de 32 bits.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.