GIMP: Heap-Out-of-Bounds-Read und -Write im PSD-Thumbnail-Loader
Zusammenfassung
Der PSD-Plug-in-Loader für Thumbnails in GIMP verarbeitet eingebettete JPEG-Thumbnails in Graustufen nicht korrekt. Eine präparierte PSD-Datei kann im Plug-in-Prozess einen Heap-Out-of-Bounds-Read und -Write auslösen, was zu einem Absturz und potenziell zur Ausführung beliebigen Codes führen kann. Voraussetzung ist, dass ein Benutzer in GIMPs Dateidialog einen Ordner mit der Datei durchsucht oder die Datei öffnet.
Betroffen
- GIMP (PSD-Plug-in für Thumbnails)
- Red Hat Enterprise Linux 7, 8, 9 und 10 (von Red Hat als betroffen aufgeführt)
- Debian bookworm, trixie, forky und sid (als verwundbar aufgeführt)
- NixOS 3.2.6, 3.0.4 und 3.0.8 Release-Zweige (als betroffen aufgeführt)
- Ubuntu: Status in Prüfung
- Unbekannt: genaue betroffene Versionen laut dem Upstream-Projekt GIMP
Behoben in
Unbekannt. Zum Zeitpunkt der Recherche wurde keine korrigierte Version und kein Herstellerpatch identifiziert.
Umgehung
- Nicht versuchen, unbekannte PSD-Dateien in GIMP zu öffnen oder zu durchsuchen.
- Falls GIMP nicht verwendet wird, das Paket gimp entfernen.
Ausnutzung
- Gemäss aktuellem Kenntnisstand nicht in freier Wildbahn ausgenutzt.
- Nicht im KEV-Katalog der CISA aufgeführt.
- CISA SSVC: Ausnutzung none, automatisierbar no.
- Kein öffentlicher Proof-of-Concept gefunden.
Unsere Empfehlung
- Prüfen, ob GIMP auf Systemen installiert ist, die unbekannte PSD-Dateien verarbeiten.
- Das Paket gimp dort entfernen, wo es nicht benötigt wird.
- Das Öffnen von PSD-Dateien aus unbekannten Quellen einschränken und das Durchsuchen entsprechender Ordner in GIMP vermeiden.
- Herstellerupdates so bald wie möglich installieren und die Advisories von Red Hat, Debian und Ubuntu beobachten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat CVE record CVE-2026-112257 access.redhat.com
- Red Hat Bugzilla 2555574 bugzilla.redhat.com
- Debian Security Tracker: gimp security-tracker.debian.org
- Ubuntu CVE-2026-112257 ubuntu.com
- NixOS nixpkgs issue 577321 github.com
- OpenCVE CVE-2026-112257 app.opencve.io
- VulDB 422547 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.