libjxl 中的内存读取漏洞

该漏洞允许攻击者通过精心构造的JPEG XL图像，触发libjxl库中的越界读取。攻击者可以利用此漏洞导致目标应用程序崩溃，拒绝服务。更严重的是，攻击者可能利用渲染过程访问其他进程的内存，从而可能导致信息泄露或代码执行。虽然目前尚未观察到该漏洞被大规模利用，但由于JPEG XL格式的广泛应用，该漏洞的潜在影响不容忽视。该漏洞的利用方式类似于其他图像处理库中的越界读取漏洞，攻击者可以利用图像数据中的缺陷来绕过安全检查。

Applications and systems that utilize libjxl for JPEG XL image decoding are at risk. This includes image processing software, media players, and web applications that handle JPEG XL images. Specifically, systems relying on older, unpatched versions of libjxl (≤0.6.0) are particularly vulnerable.

• c/linux: Use lsof or ps to identify processes using libjxl. Monitor these processes for unexpected crashes or memory access errors. Review system logs for any errors related to libjxl or image decoding.

lsof | grep libjxl
ps aux | grep libjxl

• c/windows: Use Process Explorer to identify processes using libjxl. Monitor these processes for crashes or memory access violations. Examine Windows Event Logs for application errors related to libjxl. • generic web: If libjxl is used in a web application, monitor web server error logs for any errors related to image processing or decoding. Inspect HTTP requests for unusual JPEG XL image content.

1. 2021-11-01Disclosure

   disclosure

1. 已保留2021-01-05
2. 发布日期2021-11-01
3. 修改日期2024-09-17
4. EPSS 更新日期2026-04-02

缓解此漏洞的最佳方法是升级libjxl库至0.6.0或更高版本。如果升级不可行，可以考虑应用libjxl官方提供的补丁（https://github.com/libjxl/libjxl/pull/757）。此外，可以实施输入验证措施，严格限制libjxl库处理的JPEG XL图像来源，并对图像进行完整性校验，以防止恶意图像的加载。在无法升级或应用补丁的情况下，可以考虑使用Web应用防火墙（WAF）或代理服务器来过滤潜在的恶意JPEG XL图像。