CVE-2026-25971: ImageMagick MSL: estouro de pilha por referências circulares em scripts
As versões do ImageMagick anteriores a 7.1.2-15 e 6.9.13-40 não verificam referências circulares entre dois scripts MSL, o que pode causar estouro de pilha. A NVD classifica a falha como crítica, com pontuação CVSS 9.8, enquanto o GitHub a classifica com 6.2. O registro informa que 7.1.2-15 e 6.9.13-40 contêm a correção, e nas fontes consultadas não há exploração confirmada.
Visão geral
O ImageMagick é um conjunto de software de código aberto para edição e manipulação de imagens digitais. Segundo o registro, ele não verifica referências circulares entre dois scripts MSL, o que leva a um estouro de pilha. A fraqueza associada no registro é a CWE-787, Escrita Fora dos Limites.
Impacto
- A NVD atribui pontuação base CVSS de 9,8 (crítica). A avaliação da NVD descreve vetor de ataque pela rede, sem necessidade de privilégios nem interação do usuário, e alto impacto na confidencialidade, integridade e disponibilidade.
- O GitHub atribui pontuação 6,2 em seus próprios registros.
- As consequências exatas em cada ambiente dependem de como a aplicação processa entradas MSL não confiáveis, o que o registro não descreve.
Produtos e versões afetadas
- ImageMagick anterior a 6.9.13-40.
- ImageMagick a partir de 7.0.0-0 até antes de 7.1.2-15.
- O registro informa que 7.1.2-15 e 6.9.13-40 contêm a correção.
Status de exploração
A vulnerabilidade não consta no catálogo KEV da CISA. Nas fontes consultadas não há exploração confirmada. O SSVC marca a exploração como nenhuma e a automatização como não. A probabilidade EPSS é 0,00415, com percentil de 0,3474.
Correção e mitigação
- Atualize para 7.1.2-15 ou 6.9.13-40, ou para uma versão posterior do respectivo ramo.
- Enquanto a correção não for aplicada, limite o processamento de entradas MSL ou de outros scripts de imagem não confiáveis.
- Execute os serviços de processamento de imagens com privilégios restritos e em ambientes isolados sempre que possível.
Orientações de detecção
- Faça um inventário de todas as instalações do ImageMagick e registre as versões exatas.
- Revise logs e monitoramento em busca de falhas ou encerramentos anormais em processos que recebem entradas MSL.
- Acompanhe os avisos dos fornecedores para atualizações de pontuação e de informações sobre versões afetadas.
Limitações das informações disponíveis
- O campo de versões corrigidas do registro está vazio, embora a descrição informe que existem versões com correção.
- As pontuações da NVD e do GitHub diferem (9,8 e 6,2), e o registro não explica a diferença.
- A descrição fala em estouro de pilha, enquanto a CWE é de escrita fora dos limites.
- O registro não inclui detalhes técnicos das condições de acionamento, e esta análise não os fornece.
- A data do EPSS no registro é 2026-10-23, posterior à data de publicação, por isso o valor deve ser conferido no feed atual.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada ativamente?
Ela não consta no catálogo KEV da CISA, e nas fontes consultadas não há exploração confirmada.
Quais versões contêm a correção?
O registro informa que 7.1.2-15 e 6.9.13-40 contêm a correção. Recomenda-se atualizar para essas versões ou para uma versão posterior do mesmo ramo.
Por que as pontuações de severidade são diferentes?
A NVD atribui 9,8 de CVSS e o GitHub atribui 6,2. O registro não explica a diferença, então as organizações devem avaliar as duas fontes.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.