CVE-2026-25986: ImageMagick: estouro de buffer no heap no decodificador YUV 4:2:2

Visão geral

O ImageMagick é um conjunto de ferramentas de código aberto para editar e manipular imagens. A CVE-2026-25986 descreve uma escrita no heap além do fim de uma linha alocada no leitor YUV ReadYUVImage(), em coders/yuv.c, alcançável ao processar imagens YUV 4:2:2 (NoInterlace). O loop de pares de pixels escreve um pixel além do buffer da linha.

Impacto

O registro classifica a falha como CWE-787 (escrita fora dos limites).
A NVD informa pontuação base CVSS 3.1 de 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, enquanto o GitHub atribui 5.3 ao mesmo problema.
As fontes consultadas não descrevem consequências além da escrita fora dos limites, portanto o impacto prático em cada ambiente é desconhecido.

Produtos e versões afetados

Produto no registro: ImageMagick (listado como Imagemagick Imagemagick).
O registro indica como faixa afetada as versões anteriores a 6.9.13-40 e as versões a partir de 7.0.0-0 até antes de 7.1.2-15.
A descrição afirma que as versões 6.9.13-40 e 7.1.2-15 contêm a correção. A lista de correções do registro está vazia, então a correção é confirmada apenas pelo texto da descrição.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto não há exploração ativa confirmada.
Nenhuma exploração confirmada aparece nas fontes consultadas.
O EPSS indica probabilidade de 0.00573 e percentil de 0.46641 no registro. O SSVC indica exploração como none e automatizável como yes.

Correção e mitigação

Atualize para 6.9.13-40 na linha 6.9 ou para 7.1.2-15 na linha 7.x, conforme a descrição.
Quando a atualização não for possível de imediato, limite o processamento de arquivos YUV não confiáveis pelo ImageMagick e isole os serviços de conversão de imagens com privilégios mínimos.
Consulte o aviso oficial no GitHub para orientações do fornecedor.

Orientações de detecção

Faça o inventário de todos os hosts e contêineres com ImageMagick e registre a versão instalada.
Monitore falhas inesperadas ou encerramentos anormais de processos que tratam imagens enviadas ou externas.
Revise os registros de pipelines de processamento de imagens em busca de falhas com entradas YUV.

Limitações das informações disponíveis

O registro contém apenas uma descrição curta e nenhum texto técnico detalhado de aviso.
As consequências exatas da escrita na memória e as condições necessárias são desconhecidas.
A data do EPSS no registro é posterior à data de publicação; trate os valores de EPSS como registrados, e não como avaliação atual.

Perguntas frequentes

Quais versões do ImageMagick contêm a correção?

A descrição afirma que as versões 6.9.13-40 e 7.1.2-15 contêm a correção. O registro indica como faixa afetada as versões anteriores a 6.9.13-40 e as versões a partir de 7.0.0-0 até antes de 7.1.2-15.

Há exploração ativa conhecida desta vulnerabilidade?

O registro mostra que a CVE não está no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O SSVC indica exploração como none.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.