Plataforma
c
Componente
openexr
Corrigido em
3.4.1
A vulnerabilidade CVE-2026-34378 reside no OpenEXR, uma implementação de referência para o formato de arquivo EXR, utilizado na indústria cinematográfica. Um erro de validação de limites no atributo dataWindow dos cabeçalhos de arquivo EXR permite que um atacante cause um overflow de inteiro com sinal ao manipular o atributo dataWindow.min.x, levando à terminação do processo com um erro SIGILL. A vulnerabilidade afeta as versões 3.4.0 até 3.4.8 e foi corrigida na versão 3.4.9.
A vulnerabilidade CVE-2026-34378 no OpenEXR, com uma pontuação CVSS de 6.5, afeta versões de 3.4.0 até a versão 3.4.9. Ela se deve à falta de uma verificação de limites no atributo 'dataWindow' dos cabeçalhos dos arquivos EXR. Um atacante pode explorar essa vulnerabilidade manipulando o valor de 'dataWindow.min.x' para um valor negativo muito grande. Isso faz com que o OpenEXRCore calcule uma largura de imagem excessivamente grande, que é subsequentemente usada em uma multiplicação de inteiros com sinal que transborda, potencialmente levando a um comportamento inesperado ou negação de serviço. A vulnerabilidade reside na função 'generic_unpack()'.
Um atacante poderia explorar esta vulnerabilidade criando um arquivo EXR malicioso com um valor especialmente projetado para 'dataWindow.min.x'. Abrir este arquivo com uma versão vulnerável do OpenEXR poderia acionar o transbordamento de inteiros. O impacto da exploração poderia variar dependendo do contexto de uso do OpenEXR, mas pode incluir corrupção de dados, negação de serviço ou, em cenários mais complexos, execução de código arbitrário. A dificuldade de exploração é relativamente baixa, exigindo apenas a criação de um arquivo EXR malicioso.
Motion picture production houses, visual effects studios, and any organizations utilizing OpenEXR for image storage and processing are at risk. Systems running older versions of OpenEXR (3.4.0 - 3.4.8) are particularly vulnerable, especially those handling untrusted EXR files or integrated into automated workflows.
• linux / server:
journalctl -u opencore -g 'SIGILL'• windows / supply-chain:
Get-Process | Where-Object {$_.ProcessName -eq 'opencore' -and $_.HasExited} | Select-Object -ExpandProperty ExitCode• generic web:
curl -I <EXR_FILE_URL> | grep -i 'Content-Type: image/exr'disclosure
Status do Exploit
EPSS
0.04% (percentil 11%)
CISA SSVC
Vetor CVSS
A mitigação recomendada para CVE-2026-34378 é atualizar para a versão 3.4.9 ou superior do OpenEXR. Esta versão inclui uma correção que implementa a verificação de limites necessária para prevenir o transbordamento de inteiros. Usuários que utilizam versões anteriores a 3.4.9 são fortemente aconselhados a atualizar seus sistemas prontamente para evitar possíveis explorações. Além disso, é prudente examinar arquivos EXR de fontes não confiáveis antes de processá-los em busca de possíveis manipulações.
Actualice a la versión 3.4.9 o posterior para mitigar el riesgo de un desbordamiento de enteros con signo. Esta actualización incluye una verificación de límites en el atributo dataWindow, previniendo la vulnerabilidad.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
OpenEXR é uma implementação de referência e especificação do formato de arquivo EXR, usado na indústria cinematográfica para armazenamento de imagens de alta qualidade.
Um transbordamento de inteiros ocorre quando o resultado de uma operação aritmética excede a capacidade máxima de um tipo de dado inteiro, levando potencialmente a resultados inesperados.
A versão do OpenEXR pode ser verificada consultando as informações da biblioteca instalada no seu sistema operacional ou executando um comando específico, dependendo do seu ambiente de desenvolvimento.
Se você não puder atualizar imediatamente, é recomendado evitar processar arquivos EXR de fontes não confiáveis e monitorar de perto o comportamento do OpenEXR.
A vulnerabilidade afeta os aplicativos que usam diretamente a versão vulnerável do OpenEXR. Se um aplicativo usar uma biblioteca OpenEXR mais recente, ele não será afetado.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.