CVE Intelligence
Análise Assistido por IA

CVE-2026-25898: ImageMagick: leitura fora dos limites por índice de pixel negativo nos codificadores UIL e XPM

Os codificadores UIL e XPM do ImageMagick usam um índice de pixel retornado por GetPixelIndex() como subscrito de array sem validá-lo. Em builds HDRI esse índice pode ser negativo, o que pode causar uma leitura global fora dos limites durante a conversão. O registro aponta possível vazamento de informação ou falha do processo, e indica que as versões 7.1.2-15 e 6.9.13-40 contêm a correção.

Publicada em 24/10/2026 · Atualizada em 24/10/2026 · Read in English

Visão geral

Os codificadores de imagem UIL e XPM do ImageMagick usam o índice de pixel retornado por GetPixelIndex() como subscrito de array sem verificar sua faixa. Em builds HDRI, o tipo Quantum é de ponto flutuante, portanto o índice pode ser negativo. Isso permite uma leitura fora dos limites, classificada no registro como CWE-125.

Impacto

  • Possível exposição de memória fora do buffer pretendido.
  • Possível falha do processo que executa a conversão da imagem.
  • A pontuação NVD no registro é 9.1 (crítica). As pontuações do GitHub no registro são 6.5, portanto os provedores divergem.

Produtos e versões afetadas

  • Produto no registro: Imagemagick Imagemagick.
  • Afetado: antes de 6.9.13-40, e de 7.0.0-0 até antes de 7.1.2-15.
  • O registro não traz uma entrada separada de correções. A descrição afirma que 7.1.2-15 e 6.9.13-40 contêm uma correção.

Status de exploração

  • O registro indica kev.listed como falso. Nenhuma exploração confirmada aparece nas fontes consultadas.
  • A probabilidade EPSS no registro é 0.00526, com percentil 0.43767.

Remediação e mitigação

  • Atualize para 7.1.2-15 no ramo mais recente, ou para 6.9.13-40 no ramo mais antigo.
  • Até concluir a correção, evite converter imagens de origens não confiáveis com builds afetados.
  • Execute a conversão de imagens com privilégios limitados e em ambientes isolados.

Orientações de detecção

  • Revise os logs em busca de falhas inesperadas ou encerramentos anormais de processos do ImageMagick que tratam arquivos UIL ou XPM.
  • Inventarie as instalações do ImageMagick, identifique builds HDRI e registre suas versões.

Limitações das informações disponíveis

  • O registro não inclui entrada no catálogo KEV, lista de correções nem detalhes do patch.
  • O aviso do GitHub consta como referência, mas esta análise se baseia apenas nos metadados e na descrição do registro.
  • A exposição de cada ambiente depende da configuração do build e do tratamento de entradas, o que o registro não descreve.

Perguntas frequentes

Qual é a fraqueza central do CVE-2026-25898?

Os codificadores usam um índice de pixel sem verificar sua faixa. Em builds HDRI o índice pode ser negativo, causando uma leitura fora dos limites classificada como CWE-125.

Quais versões são afetadas e o que fazer?

O registro lista como afetadas as versões antes de 6.9.13-40 e de 7.0.0-0 até antes de 7.1.2-15. A atualização para 7.1.2-15 ou 6.9.13-40 é a correção indicada na descrição.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.