FreeImage (danoli3-Variante): Heap-Buffer-Overflow im IFF/LBM-PBM-RLE-Decoder

Zusammenfassung

Die danoli3-Variante der Bildbibliothek FreeImage vor 3.19.22 enthält einen Heap-Buffer-Overflow im PBM-RLE-Decoder des IFF/LBM-Plugins (PluginIFF.cpp). Ein Angreifer kann eine speziell präparierte IFF/LBM/PBM-Datei bereitstellen, deren Runs Scanline-Grenzen überschreiten; dadurch werden bis zu 127 vom Angreifer kontrollierte Bytes hinter die heap-allokierte Bitmap geschrieben. Anwendungen, die solche Bilder aus unsicheren Quellen laden, können zum Absturz gebracht oder möglicherweise weiter missbraucht werden; eine Codeausführung ist weder vom Hersteller noch im CVE-Eintrag bestätigt.

Betroffen

• danoli3 FreeImage: 0 bis vor 3.19.22 (CVE-Eintrag; VulDB nennt bis einschliesslich 3.19.21)
• FreeImage (Upstream, CVE-Eintrag nennt 0 bis 3.18.0; nicht gegen eine Primärquelle verifiziert)

Behoben in

• danoli3 FreeImage 3.19.22 (veröffentlicht am 14. Okt. 2026), mit zusätzlichen Scanline-Grenzprüfungen für Literal- und Repeat-Pixel

Umgehung

• Der Hersteller dokumentiert keinen Workaround. Das Upgrade auf 3.19.22 ist die empfohlene Massnahme.
• Übergangsmassnahmen auf Basis allgemeiner Praxis, nicht gemäss Advisory: IFF/LBM/PBM-Uploads von nicht vertrauenswürdigen Benutzern auf Anwendungs- oder Gateway-Ebene ablehnen und Bildkonvertierungen in einem isolierten Prozess oder Container ausführen.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; kein Eintrag im CISA KEV.
• Öffentlicher Proof of Concept unklar: VulDB meldet keinen verfügbaren Exploit, während OffSeq Metasploit-Module und nuclei-Templates erwähnt, die nicht verifiziert werden konnten.
• Das öffentliche Issue #156 des Melders beschreibt den Absturz.

Unsere Empfehlung

• Prüfen Sie, ob Software im Inventar die danoli3-Variante der FreeImage-Bibliothek enthält (z. B. FreeImage.dll oder libfreeimage) und IFF-, LBM- oder PBM-Dateien verarbeitet.
• Fragen Sie die Hersteller solcher Software nach einem Build mit FreeImage 3.19.22 oder neuer und aktualisieren Sie, sobald verfügbar.
• Priorisieren Sie aus dem Internet erreichbare Upload-Dienste und Konverter; blockieren oder isolieren Sie dort die Verarbeitung von IFF/LBM/PBM, bis gepatcht ist.
• Prüfen Sie Angriffsvektor und Schweregrad anhand des NVD-Eintrags, da der CVSS-4.0-Vektor (AV:L, UI:P) und die VulDB-Beschreibung (remote) voneinander abweichen.
• Beobachten Sie Hersteller- und CERT-Meldungen auf neue Exploit-Aktivitäten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• FreeImage 3.19.22 release (danoli3) github.com
• PluginIFF.cpp at 3.19.21 (vulnerable code) github.com
• Issue #156 (danoli3 FreeImage) github.com
• Pull request #161 (danoli3 FreeImage) github.com
• VulnCheck advisory www.vulncheck.com
• Ubuntu security notice CVE-2026-118752 ubuntu.com
• VulDB CVE-2026-118752 vuldb.com
• Strix CVE-2026-118752 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:51.