Запись за границами буфера в декодере unci библиотеки libheif позволяет выполнить код через изображение

Библиотека libheif отвечает за чтение и запись изображений в контейнерных форматах. Её встраивают графические редакторы, просмотрщики, серверы обработки медиа и системы управления контентом. Ошибка в компоненте unci приводит к записи за границами буфера. Иначе говоря, данные попадают в память за пределами заранее выделенного участка. В результате удалённый злоумышленник может выполнить произвольный код на устройстве. Уязвимость зарегистрирована в Банке данных угроз безопасности информации (БДУ) под номером BDU:2026-15971. Оценка по CVSS 3.1 достигает 9,8. По более старой шкале CVSS 2.0 она равна максимальным 10.

Детали уязвимости

Компонент unci задействован и при декодировании, и при кодировании файлов. Запись за границами буфера относится к классу ошибок работы с памятью и обозначается как CWE-787. Способ эксплуатации описан как манипулирование структурами данных. Значит, злоумышленник управляет содержимым файла и тем самым влияет на ход его обработки. Для атаки достаточно, чтобы жертва открыла или загрузила подготовленное изображение. Учётные данные при этом не нужны. Действия пользователя тоже не требуются, кроме самого факта открытия файла. Вектор атаки сетевой, поэтому нарушитель работает дистанционно.

Готовый эксплойт уже опубликован в открытом доступе. Поэтому вероятность практического применения проблемы высока. Производитель подтвердил её существование. Публичный инструмент снижает порог входа для атакующих, поскольку его не нужно разрабатывать самостоятельно. Кроме того, подобные ошибки удобны для автоматизации: вредоносный файл можно распространять массово, через вложения, мессенджеры или формы загрузки на сайтах.

Уязвимы версии библиотеки от 1.18.0 до 1.23.2 включительно. В перечень затронутого программного обеспечения также входит WordPress версии 7.1.0. Эта система управления контентом обрабатывает загружаемые изображения, поэтому риск касается сайтов, которые принимают медиафайлы от пользователей. Речь идёт не только о крупных порталах. Небольшие редакции, блоги и корпоративные сайты с формой загрузки картинок попадают в ту же группу. Платформы и операционные системы, где проявляется ошибка, ещё уточняются. Данные о них в бюллетене отмечены как неполные.

Круг затронутых продуктов шире формального списка. Libheif распространяется как встраиваемая зависимость, и её версия внутри конкретного приложения не всегда видна пользователю. Один и тот же код обработки изображений кочует по десяткам программ, от мобильных приложений до серверных конвейеров обработки медиа. Поэтому одна ошибка расходится по всей цепочке поставок. Администратор обновляет систему управления сайтом, но забывает библиотеку, которую подтянула отдельная служба. Такой разрыв и создаёт окно для атаки.

Смягчает ситуацию то, что проблему уже исправили. Разработчики libheif опубликовали рекомендации и закрыли ошибку. Безопасными можно считать версии библиотеки выше 1.23.2. Администраторам сайтов стоит обновить WordPress до актуальной сборки и отдельно проверить, какая версия libheif используется на сервере. То же касается приложений, которые работают с изображениями в формате HEIF. Пользователям имеет смысл обновить просмотрщики, редакторы и мессенджеры, если их разработчики уже подготовили новые сборки. До установки исправлений разумно ограничить приём изображений из недоверенных источников и подключить проверку вложений средствами защиты почтового шлюза.

Ошибки в разборе медиаформатов остаются устойчивым направлением атак. Файл изображения редко вызывает подозрение, а его обработка идёт автоматически, без лишних подтверждений. В сочетании с публичным эксплойтом это даёт простой сценарий: пользователю достаточно открыть картинку, а серверу - принять её. Обновление самой библиотеки закрывает проблему в её основе, однако каждая программа несёт собственную копию кода. Поэтому контроль версий зависимостей и своевременная установка исправлений остаются главной мерой против подобных уязвимостей, а проверка цепочки поставок становится такой же рутинной задачей, как установка обновлений операционной системы.

Детали уязвимости

Ссылки