Запись за границами буфера в LibRaw открывает путь к отказу в обслуживании при разборе JPEG без потерь

Уязвимость CVE-2026-21413 в библиотеке LibRaw для чтения изображений позволяет удалённо вызвать отказ в обслуживании. Ошибка затрагивает обработку JPEG без потерь. Уязвимость присутствует в LibRaw с 0.20.2 по 0.22.0 включительно. Она также затрагивает Red Hat Enterprise Linux 7, 8 и 9, включая каналы расширенной поддержки. Эксплойт находится в открытом доступе. Базовая оценка по CVSS 3.1 - 9,8, по CVSS 2.0 - 10. В Банке данных угроз безопасности информации (BDU) уязвимость числится под номером BDU:2026-17855.

CVE-2026-21413 в LibRaw и дистрибутивах Red Hat

Уязвимость связана с загрузкой JPEG без потерь. Библиотека неверно вычисляет индекс массива. В результате программа может записать данные за пределами выделенного буфера. Такой класс ошибок ведёт к повреждению памяти и аварийному завершению процесса. В BDU указана дата выявления 12 февраля 2026 года.

Злоумышленник отправляет специально сформированный файл в сервис, который читает изображения через LibRaw. Атака идёт по сети. Сложность низкая. Учётная запись и действия пользователя не нужны. Для срабатывания достаточно, чтобы уязвимый компонент принял файл и попытался его разобрать. Описанное последствие состоит в отказе в обслуживании. В векторе CVSS 3.1 высоко оценены конфиденциальность и целостность. Значит, влияние на память процесса не ограничивается одним падением. В BDU заявлен сценарий отказа в обслуживании. При оценке риска опирайтесь на этот факт, а не на предположения о выполнении кода.

LibRaw читает RAW-файлы, которые создают фотокамеры. Библиотеку встраивают в программы просмотра, конвертеры и сервисы, которые строят эскизы. Любое приложение, принимающее внешние снимки и разбирающее их через LibRaw, наследует проблему. В дистрибутивах Red Hat пакет LibRaw входит в состав системы. Поэтому уязвимость касается не только настольных фоторедакторов, но и серверов, где обработка изображений идёт в фоне.

Публичный эксплойт повышает практическую ценность ошибки. Проверять нужно не только рабочие станции. Речь идёт о сервисах, которые принимают загрузки от пользователей: фотогалереях, системах управления содержимым сайтов, обработчиках вложений и документов. Если такой сервис запускает конвертацию в общем процессе, сбой может затронуть весь процесс, а не одну операцию.

Для LibRaw исправление доступно в версии 0.22.1. В BDU уязвимость отмечена как подтверждённая производителем. Отметка об устранении присутствует. Red Hat ведёт страницу CVE-2026-21413, где перечислены затронутые продукты и каналы поставки. Администраторам RHEL 7, 8 и 9 нужно сверять свои системы с этой страницей и ставить пакеты из каналов, где закрыта эта ошибка. Для LibRaw обновление до 0.22.1 закрывает саму причину сбоя.

Обновление LibRaw до 0.22.1 остаётся главным действием. В RHEL установите пакеты из каналов Red Hat, где закрыт CVE-2026-21413. Если применить обновление сразу нельзя, ограничьте приём RAW и JPEG без потерь от недоверенных источников на сервисах обработки изображений. Конвертеры стоит запускать в отдельном процессе или изолированной среде. Контроль аварийных завершений поможет заметить попытки эксплуатации. Для публичных сервисов полезна проверка входных файлов на аномалии, хотя она не заменяет исправление.

Ошибки в библиотеках разбора файлов редко остаются локальными. Один компонент чтения изображений используют десятки приложений и служб. Публичный эксплойт и сетевой вектор делают CVE-2026-21413 заметной для тех, кто обрабатывает пользовательские файлы. Обновление библиотеки и учёт версий в дистрибутивах закрывают основную часть риска. Остальное зависит от изоляции процессов и контроля того, какие файлы попадают в обработку.

CVE-2026-21413 в LibRaw и дистрибутивах Red Hat

Ссылки