CVE-2026-22770: ImageMagick: liberação de ponteiro inválido no BilateralBlur após falha de alocação de memória
A CVE-2026-22770 afeta versões do ImageMagick anteriores à 7.1.2-13. Quando a alocação de memória falha no caminho do BilateralBlurImage, o último elemento de um conjunto de buffers não é inicializado corretamente, o que pode levar à liberação de um ponteiro inválido. Segundo o registro, a versão 7.1.2-13 contém a correção.
Visão geral
A CVE-2026-22770 é uma falha de manipulação de memória no caminho de código do BilateralBlurImage do ImageMagick. Segundo o registro, um conjunto de buffers duplos alocados em AcquireBilateralTLS tem o último elemento sem inicialização adequada, e DestroyBilateralTLS pode liberar um ponteiro inválido quando a alocação falha. O CNA é o GitHub (GitHub_M) e o registro foi publicado em 2026-01-20.
Impacto
- A pontuação base CVSS do NVD no registro é 9,8, com severidade marcada como crítica.
- A pontuação do GitHub no registro é 6,5.
- O registro indica CWE-763 sem nome, impacto técnico SSVC como parcial e automatizável SSVC como não.
- O registro descreve a liberação de um ponteiro inválido. Não descreve impacto demonstrado sobre confidencialidade, integridade ou disponibilidade além disso.
Produtos e versões afetadas
- Produto: ImageMagick (Imagemagick Imagemagick).
- Afetado: versões anteriores à 7.1.2-13.
- Corrigido: versão 7.1.2-13, conforme indicado no registro e no commit de correção vinculado.
Status de exploração
O registro mostra que esta CVE não está listada no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,00391, com percentil 0,32044, e o campo de exploração SSVC está como nenhuma.
Correção e mitigação
- Atualize o ImageMagick para a versão 7.1.2-13 ou uma versão posterior que inclua a correção upstream.
- Se a atualização imediata não for possível, reduza a exposição limitando quais usuários e serviços podem enviar imagens ao ImageMagick e isolando os hosts de processamento (inferência, não é uma solução alternativa indicada pelo fornecedor).
- Revise o aviso do GitHub e o commit de correção para confirmar que a correção está presente nas instalações em uso.
Orientações de detecção
- Inventarie todas as instalações do ImageMagick, incluindo bibliotecas empacotadas e imagens de contêiner, registrando as versões exatas.
- Monitore encerramentos anormais ou travamentos de processos do ImageMagick, especialmente sob pressão de memória, pois podem indicar falhas neste caminho de código.
- Acompanhe falhas de alocação de memória reportadas por hosts que executam cargas de processamento de imagens.
Limitações das informações disponíveis
O registro não descreve uma condição de disparo detalhada, incidentes observados ou uma linha do tempo de exploração. O nome do CWE está nulo no registro. O NVD e o GitHub atribuem pontuações CVSS base diferentes, e o registro não explica a diferença. A data do EPSS no registro é 2026-10-23, que deve ser verificada no feed atual.
Perguntas frequentes
Quais versões do ImageMagick são afetadas pela CVE-2026-22770?
Segundo o registro, são afetadas as versões anteriores à 7.1.2-13.
Há registro de exploração conhecida?
O registro mostra que a CVE não está listada no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer primeiro?
Atualizar o ImageMagick para a versão 7.1.2-13 ou uma versão posterior que inclua a correção e, em seguida, verificar a versão instalada em todos os hosts e contêineres.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.