Eclipse ThreadX GUIX: Heap-Out-of-Bounds-Schreibzugriff im PNG-Decoder

Zusammenfassung

Eclipse ThreadX GUIX, ein grafisches Framework für das Echtzeitbetriebssystem ThreadX, enthält einen Heap-Out-of-Bounds-Schreibzugriff im integrierten PNG-Decoder. Eine PNG-Datei mit einem zweiten IHDR-Chunk nach IDAT ändert die Bildabmessungen, nachdem der Dekodierpuffer bereits angelegt wurde, sodass der Zeilenfilter-Durchlauf über das Ende des Puffers hinaus schreibt. Die Ausnutzung erfordert, dass eine Anwendung die Datei des Angreifers dekodiert, und der Software-Decoder ist standardmässig aktiviert. Der CVSS-4.0-Basiswert beträgt 8.4 (Hoch), und ein Speicherschreibzugriff kann das Gerät zum Absturz bringen oder angrenzenden Speicher beschädigen.

Betroffen

• Eclipse ThreadX GUIX ab Version 0 bis einschliesslich 6.5.1.202602a
• Standardkonfiguration, bei der die Unterstützung des Software-Decoders aktiviert ist (GX_SOFTWARE_DECODER_SUPPORT)

Behoben in

• Eclipse ThreadX GUIX 6.5.2.202603 (gemäss Herstellerhinweis und CVE-Eintrag)

Umgehung

• PNG-Daten aus nicht vertrauenswürdigen Quellen nicht dekodieren.
• In Firmware-Builds, bei denen der Software-Decoder nicht benötigt wird, mit GX_DISABLE_SOFTWARE_DECODER_SUPPORT kompilieren.
• Vorschlag eines Drittanbieters, nicht vom Hersteller: PNG-Dateien mit einem zweiten IHDR vor der Dekodierung zurückweisen oder die PNG-Dekodierung vorübergehend deaktivieren.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Die CVE ist nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Der Melder hat die Schwachstelle mit einer 94 Byte grossen Testdatei demonstriert. Kein öffentlicher Exploit oder Bericht gefunden. Es wurde kein Exploit entwickelt und keine Codeausführung behauptet.

Unsere Empfehlung

• Bei den Geräteherstellern nachfragen, ob ihre Firmware GUIX enthält und welche Version verwendet wird.
• Firmware-Updates mit GUIX 6.5.2.202603 oder neuer anfordern.
• Exposition prüfen: relevant nur für Geräte wie HMI-Panels, Appliances oder IoT-Displays, die PNG-Dateien verarbeiten.
• Bis zur Behebung die PNG-Annahme auf betroffenen Geräten auf vertrauenswürdige Quellen beschränken und auf Abstürze oder unerwartete Neustarts achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-gx8f-4rpc-4fjw (Eclipse ThreadX GUIX) github.com
• OpenCVE: CVE-2026-91186 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:16.