FLTK: Heap-Pufferüberlauf durch Integer-Überlauf im BMP-Bildlader

Zusammenfassung

FLTK, ein C++-GUI-Toolkit, enthält einen Integer-Überlauf in Fl_BMP_Image::load_bmp_(), die BMP- und ICO-Bilddateien lädt. Eine präparierte Datei mit grossen Breiten- und Höhenwerten führt zur Allokation eines zu kleinen Pixelpuffers, sodass die Zeilendekodierung Daten aus der Datei über den Heap-Puffer hinaus schreibt und den Heap der Anwendung beschädigt. Für einen Angriff muss ein Benutzer die präparierte Datei in einer Anwendung öffnen oder laden, die FLTK verwendet.

Betroffen

• FLTK bis und mit 1.4.5 (CVE-Eintrag)
• Azure Linux listet fltk 1.3.8-1 als letzte betroffene Version (Distributionsdaten)
• Red Hat Enterprise Linux 7 wird in einer Drittkopie der Red-Hat-Daten als betroffen gelistet; RHEL 8 und das Red-Hat-Advisory wurden nicht bestätigt

Behoben in

Unbekannt: Die genaue erste korrigierte Version ist nicht verifiziert.

• Für dieses Problem wird der Upstream-Commit 3a049d8 referenziert; der Maintainer hat angekündigt, dass er in FLTK 1.5 ausgeliefert wird.
• VulDB und OpenCVE empfehlen FLTK 1.4.6 oder neuer, ein Release 1.4.6 konnte jedoch nicht verifiziert werden.
• Die aktuell korrigierte Version ist auf https://github.com/fltk/fltk/releases und https://www.fltk.org zu prüfen.

Umgehung

Unbekannt: Keine vom Hersteller veröffentlichte Massnahme gefunden.

• Bis zur Korrektur keine BMP- oder ICO-Dateien aus unvertrauenswürdigen Quellen (E-Mail, Web-Downloads, externe Freigaben) in FLTK-basierten Anwendungen öffnen.
• Solche Anwendungen mit minimalen Berechtigungen betreiben.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt; EPSS unter 1%.
• CISA SSVC: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung.
• Der Meldende hat eine statische Quellcode-Prüfung durchgeführt und erklärt, dass kein Laufzeit-Exploit entwickelt wurde.
• Keine Ausnutzung in freier Wildbahn gefunden.
• OpenCVE bezeichnet die Auswirkung als Remote Code Execution, die Ausführung von Code ist in den Quellen jedoch nicht bestätigt.

Unsere Empfehlung

• Eigene und Drittanbieter-Anwendungen inventarisieren, die FLTK einbinden, einschliesslich älterer 1.3.x-Versionen aus Linux-Distributionen.
• Betroffene Anwendungen auf eine korrigierte FLTK-Version aktualisieren, sobald eine verifiziert ist, und die verwandte Korrektur CVE-2026-116723 gleichzeitig einspielen.
• Bis dahin BMP- und ICO-Dateien aus unvertrauenswürdigen Quellen in diesen Anwendungen blockieren oder einschränken.
• Die FLTK-Release-Seite und Herstellerhinweise auf die korrigierte Version überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• FLTK upstream commit 3a049d8 github.com
• FLTK issue 1632 github.com
• FLTK source Fl_BMP_Image.cxx (release-1.4.5) github.com
• FLTK GitHub repository github.com
• OSV Azure Linux entry AZL-111109 osv.dev
• VulDB CVE-2026-116724 vuldb.com
• OpenCVE CVE-2026-116724 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:04.