Platform
c
Component
libjxl
Opgelost in
0.6.1
CVE-2021-22564 describes an out-of-bounds write vulnerability discovered in libjxl, a JPEG XL image codec library. This flaw allows a malicious actor to craft a JPEG XL image that, when decoded, can trigger a heap buffer overflow, potentially leading to a denial-of-service condition. The vulnerability affects versions of libjxl up to and including 0.6.0. Users are strongly advised to upgrade to a patched version of libjxl to address this security concern.
Een succesvolle exploitatie van deze kwetsbaarheid stelt een aanvaller in staat om een heap overflow te veroorzaken tijdens het decoderen van een kwaadaardige JPEG XL afbeelding. Dit kan leiden tot een denial-of-service (DoS) door het crashen van de applicatie die libjxl gebruikt. In sommige gevallen kan de aanvaller mogelijk de controle over het systeem overnemen door schadelijke code uit te voeren. De kwetsbaarheid is vooral kritisch in omgevingen waar libjxl wordt gebruikt om afbeeldingen van onbetrouwbare bronnen te verwerken, zoals webservers of mediaprocessoren.
Deze kwetsbaarheid is openbaar bekend en er zijn geen bekende actieve exploits in de wild. De kwetsbaarheid is opgenomen in het CISA KEV catalogus. Er zijn geen publiekelijk beschikbare proof-of-concept exploits bekend op het moment van schrijven, maar de complexiteit van de kwetsbaarheid maakt het potentieel voor toekomstige exploitatie aannemelijk.
Applications and systems that rely on libjxl to decode JPEG XL images are at risk. This includes image processing software, web servers serving JPEG XL content, and embedded devices using libjxl for image handling. Systems that process user-uploaded images are particularly vulnerable, as they are more likely to encounter malicious files.
• linux / server: Monitor libjxl process memory usage for unusual spikes during image decoding. Use lsof or ss to identify processes using libjxl and investigate any suspicious network connections.
lsof -p $(pidof libjxl)• generic web: Examine web server access logs for requests containing JPEG XL images with unusually large file sizes. Check error logs for any crashes or exceptions related to libjxl during image processing.
grep 'libjxl' /var/log/nginx/error.logdisclosure
Exploit Status
EPSS
0.04% (13% percentiel)
CVSS-vector
De primaire mitigatie is het upgraden van libjxl naar een versie hoger dan 0.6.0, waar de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, kan het beperken van de grootte van de verwerkte JPEG XL afbeeldingen een tijdelijke workaround bieden. Controleer de invoer op afwijkende afmetingen. Implementeer input validatie om te voorkomen dat afbeeldingen met een grootte die de integergrens overschrijdt, worden verwerkt. Overweeg het gebruik van een Web Application Firewall (WAF) om kwaadaardige afbeeldingen te detecteren en te blokkeren.
Actualice la biblioteca libjxl a una versión posterior a 0.6.0. Alternativamente, aplique el parche proporcionado en https://github.com/libjxl/libjxl/pull/775 para corregir la vulnerabilidad.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2021-22564 is a medium severity vulnerability in libjxl versions up to 0.6.0 that allows a crafted JPEG XL image to trigger a heap buffer overflow, potentially leading to denial of service.
You are affected if you are using libjxl version 0.6.0 or earlier and process untrusted JPEG XL images.
Upgrade to a patched version of libjxl. Consult the libjxl project's website for the latest release and instructions.
There is currently no evidence of active exploitation campaigns targeting CVE-2021-22564.
Refer to the libjxl project's security advisories or GitHub repository for updates and information related to CVE-2021-22564.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.