CVE-2026-25897: ImageMagick: estouro de inteiro no decodificador sun causa escrita fora dos limites no heap em builds de 32 bits
A CVE-2026-25897 é um estouro de inteiro no decodificador sun do ImageMagick que, em sistemas e builds de 32 bits, pode ser acionado por uma imagem especialmente construída e levar a uma escrita fora dos limites no heap. As fontes indicam correções nas versões 6.9.13-40 e 7.1.2-15. Não há exploração confirmada nas fontes consultadas, e a pontuação CVSS é 9.8 na NVD e 6.5 em registros do GitHub.
Visão geral
A CVE-2026-25897 afeta o decodificador de imagens sun do ImageMagick. Segundo o registro, um estouro de inteiro nesse decodificador pode levar a uma escrita fora dos limites no heap quando uma imagem especialmente construída é processada em sistemas ou builds de 32 bits. A fraqueza é classificada como CWE-190 (Integer Overflow or Wraparound).
Impacto
- O registro descreve uma escrita fora dos limites no heap, que pode corromper a memória usada pelo processo afetado.
- A NVD atribui pontuação 9.8 (crítica). O vetor indica vetor de rede, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
- Uma pontuação de origem GitHub presente no registro é 6.5.
- Os dados SSVC do registro classificam o impacto técnico como parcial e a automatizabilidade como não.
Produtos e versões afetados
- Produto listado: Imagemagick Imagemagick.
- O registro lista versões anteriores a 6.9.13-40 e versões a partir de 7.0.0-0 até antes de 7.1.2-15.
- Versões corrigidas citadas na descrição: 6.9.13-40 e 7.1.2-15.
- As fontes consultadas não trazem uma lista separada de pacotes derivados ou distribuições.
Status de exploração
- O registro indica que esta CVE não consta no catálogo CISA KEV.
- Nas fontes consultadas não aparece exploração confirmada.
- A probabilidade EPSS é 0.0046 (percentil 0.38977) na data registrada, e a exploração no SSVC está registrada como nenhuma.
Correção e mitigação
- Atualize o ImageMagick para uma versão que contenha a correção, como 6.9.13-40 ou 7.1.2-15 no ramo correspondente, conforme indicado na descrição.
- Quando a atualização imediata não for possível, limite o processamento de arquivos de imagem não confiáveis e execute conversões de imagem em ambientes isolados e com privilégios mínimos.
- Identifique builds de 32 bits do ImageMagick e priorize-os, já que o registro vincula o problema a esses builds.
Orientação para detecção
- Inventarie as instalações do ImageMagick, incluindo arquitetura e versão, e verifique cópias embutidas em aplicações.
- Monitore falhas ou encerramentos anormais de processos do ImageMagick ao tratar imagens enviadas por usuários.
- Revise registros de envio de imagens processadas por serviços que dependem do ImageMagick.
Limitações das informações disponíveis
- O registro não fornece detalhes técnicos do gatilho além da descrição, e não lista as versões corrigidas como dado estruturado.
- As pontuações CVSS da NVD e de origem GitHub divergem (9.8 e 6.5); o registro não explica a diferença.
- Não é possível saber, pelo registro, se uma implantação específica é um build de 32 bits.
Perguntas frequentes
A CVE-2026-25897 é explorada ativamente?
O registro não a lista no catálogo CISA KEV, e nas fontes consultadas não aparece exploração confirmada.
Quais versões do ImageMagick contêm a correção?
A descrição informa que as versões 6.9.13-40 e 7.1.2-15 contêm a correção para este problema.
Por que as pontuações CVSS são diferentes?
A NVD atribui 9.8, enquanto entradas de origem GitHub no registro indicam 6.5. O registro não explica a diferença.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.