CVE-2026-40494: Escrita fora dos limites no decodificador TGA do SAIL
A biblioteca multiplataforma SAIL apresenta uma escrita fora dos limites (CWE-787) no decodificador RLE do codec TGA, em que o caminho de pacotes brutos não possui a verificação de limites presente no caminho de pacotes de execução. O CNA atribui pontuação 9,8 (Crítica) pelo CVSS 3.1, e o registro referencia o commit 45d48d1f2e8e0d73e80bc1fd5310cb57f4547302 como correção. O registro não traz lista de versões afetadas ou corrigidas nem listagem no catálogo KEV.
Visão geral
SAIL é uma biblioteca multiplataforma para carregar e salvar imagens. Segundo o aviso de segurança do GitHub, o decodificador RLE do codec TGA apresenta uma verificação de limites assimétrica: o caminho de pacotes de execução limita a contagem de repetições ao espaço restante do buffer, enquanto o caminho de pacotes brutos não possui verificação equivalente.
Impacto
O registro descreve uma escrita fora dos limites (CWE-787) que pode gravar até 496 bytes de dados controlados pelo atacante além do fim de um buffer na heap. O CNA atribui pontuação base 9,8 (Crítica) pelo CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica alcance pela rede, baixa complexidade, ausência de privilégios e de interação do usuário. Consequências além da corrupção de memória não são descritas nas fontes consultadas.
Produtos e versões afetadas
- Produto: SAIL, codec TGA.
- Faixa afetada: indicada como anterior ao commit 45d48d1f2e8e0d73e80bc1fd5310cb57f4547302. O registro não traz lista estruturada de versões afetadas ou corrigidas.
- Números de versões corrigidas não constam nos dados disponíveis. O commit referenciado é a correção documentada.
Status de exploração
Esta CVE não consta no catálogo KEV da CISA no registro analisado. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS registrada é 0,00553, com percentil 0,44701.
Remediação e mitigação
- Atualize o SAIL para uma versão que inclua o commit 45d48d1f2e8e0d73e80bc1fd5310cb57f4547302, conforme referenciado no aviso do GitHub, e consulte o aviso para orientações de release.
- Até a correção, restrinja o processamento de arquivos TGA não confiáveis, por exemplo rejeitando-os na entrada do sistema ou decodificando em processos isolados com privilégios reduzidos.
- Inventarie as aplicações que incorporam o SAIL, pois ele pode ser dependência de outros softwares.
Orientação para detecção
- Identifique builds de software que incluem o SAIL e verifique se são anteriores ao commit referenciado.
- Monitore serviços de processamento de imagens que aceitam entrada TGA quanto a travamentos ou erros de segurança de memória.
- Revise uploads de imagens que falhem na decodificação de forma incomum.
Limitações das informações disponíveis
O registro não possui lista de versões afetadas nem versão corrigida. O status da fonte NVD está registrado como Deferred. As condições de exploração além da escrita descrita são desconhecidas. Esta análise se baseia apenas no registro e nas URLs referenciadas.
Perguntas frequentes
Qual é a vulnerabilidade na CVE-2026-40494?
O decodificador RLE do codec TGA do SAIL não verifica os limites no caminho de pacotes brutos, o que pode causar escrita fora dos limites de até 496 bytes além de um buffer na heap, classificada como CWE-787.
Esta CVE é conhecida por ser explorada ativamente?
O registro não mostra listagem no KEV e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.