FreeImage (danoli3-Fork): Heap-Pufferüberlauf bei GIF-Wiedergabe
Zusammenfassung
Der danoli3-Fork von FreeImage vor 3.19.25 enthält einen Heap-Pufferüberlauf in PluginGIF.cpp. Ein präpariertes GIF, dessen Frame-Rechteck die logische Bildschirmbreite überschreitet, führt beim Laden mit GIF_PLAYBACK zu einer Beschädigung des Heap-Speichers. Ein Angreifer kann dabei über die Canvas-Allokation hinaus schreiben; eine Codeausführung ist nicht bestätigt. Die Ausnutzung erfordert einen lokalen Kontext und eine Benutzerinteraktion, etwa das Öffnen eines bösartigen GIFs, aber keine Berechtigungen.
Betroffen
- danoli3-FreeImage-Fork: alle Versionen vor 3.19.25
- Upstream-FreeImage (SourceForge): Versionen bis und mit 3.18.0 gemäss CNA-Eintrag
Behoben in
- danoli3-FreeImage-Fork: 3.19.25 (veröffentlicht am 17. Okt. 2026, Korrektur in PR #183)
- Upstream-FreeImage: Unbekannt.
Umgehung
- Unsichere GIF-Dateien nicht über den GIF_PLAYBACK-Pfad verarbeiten, bis ein Patch installiert ist (eigene Empfehlung, nicht vom Hersteller).
- GIF-Plugin aus Anwendungen entfernen, die es nicht benötigen.
- Generische Speicherschutzmechanismen wie ASLR und Heap-Hardening erschweren die Ausnutzung, beheben die Schwachstelle aber nicht.
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden; dies ist kein Beweis, dass keiner existiert.
- Nicht als aktiv ausgenutzt bekannt und nicht im CISA-KEV-Katalog aufgeführt.
- Eine Codeausführung ist nicht bestätigt.
Unsere Empfehlung
- Anwendungen und Produkte inventarisieren, die FreeImage enthalten, insbesondere solche, die vom Benutzer hochgeladene GIFs verarbeiten.
- Bei Herstellern nachfragen, ob ihre Builds 3.19.25 oder neuer verwenden.
- Distributionspakete verfolgen; Ubuntu stufte die Schwachstelle zum Prüfzeitpunkt als Medium ein und markierte die Pakete als Needs evaluation.
- Release-Seite und Advisories des Herstellers auf Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- danoli3 FreeImage release 3.19.25 github.com
- danoli3 FreeImage pull request 183 github.com
- danoli3 FreeImage pull request 244 github.com
- Ubuntu security record CVE-2026-118753 ubuntu.com
- VulDB CVE-2026-118753 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:51.
Referenzen der NVD (7)
- https://github.com/danoli3/FreeImage
- https://github.com/danoli3/FreeImage/blob/3.19.24/Source/FreeImage/PluginGIF.cpp#L719-L772
- https://github.com/danoli3/FreeImage/commit/0da5ddb4d311e5222251348cca1aa988478b1034
- https://github.com/danoli3/FreeImage/commit/96f4099f8e307484ba69b4aa14d772b7679a1bfb
- https://github.com/danoli3/FreeImage/pull/183
- https://github.com/danoli3/FreeImage/releases/tag/3.19.25
- https://www.vulncheck.com/advisories/freeimage-danoli3-fork-before-3.19.25-heap-buffer-overflow-via-gif-playb…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.