CVE-2026-56367: Leitura Fora dos Limites na Decodificação RLE de PSB do ImageMagick

Visão geral

A CVE-2026-56367 afeta o caminho de decodificação RLE de arquivos PSB (PSD v2) do ImageMagick. A falha é um estouro de inteiro em ReadPSDChannelRLE, localizada em coders/psd.c, que resulta em leitura fora dos limites na heap. O registro classifica a fraqueza como CWE-125 (Leitura Fora dos Limites). A descrição indica que o problema afeta builds de 32 bits.

Impacto

O registro informa que o processamento de um arquivo PSB construído com esse objetivo pode levar à divulgação de informações ou a uma falha.
O score base do NVD é 9.1 no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H, o que indica alto impacto em confidencialidade e disponibilidade, explorável pela rede sem privilégios nem interação do usuário.
O CNA VulnCheck lista score 6.3 no CVSS 4.0 e 3.7 no CVSS 3.1. As diferenças refletem avaliações distintas e devem ser lidas com seus respectivos vetores e fornecedores.

Produtos e versões afetadas

O registro lista o produto ImageMagick, com a faixa a partir de 6.9.0 até, sem incluir, 6.9.13-40, e a faixa a partir de 7.1.2 até, sem incluir, 7.1.2-15.
A descrição indica os ramos 6.9.x anteriores a 6.9.13-40 e as versões anteriores a 7.1.2-15.
O registro não traz uma lista explícita de versões corrigidas. Os limites superiores das faixas sugerem que 6.9.13-40 e 7.1.2-15 são as primeiras versões fora do intervalo descrito, o que é uma inferência a ser confirmada no aviso do fornecedor.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, e não há data de inclusão, prazo ou ação requerida. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Dados do EPSS estão ausentes no registro.

Correção e mitigação

Atualize as instalações do ImageMagick para versões fora das faixas afetadas, seguindo o aviso do fornecedor indicado abaixo.
Quando a atualização imediata não for possível, limite o processamento de arquivos PSB e PSD de origens não confiáveis e isole cargas de conversão de imagens em ambientes restritos.
Priorize builds de 32 bits e serviços que processam imagens enviadas por usuários automaticamente, como geradores de miniaturas e pipelines de upload.
Consulte o aviso do fornecedor para a orientação oficial de correção e eventuais contramedidas.

Orientações de detecção

Mantenha um inventário dos binários e bibliotecas do ImageMagick, incluindo cópias embutidas em software de terceiros, registrando versões e arquiteturas.
Monitore os logs dos serviços de processamento de imagens quanto a falhas, erros de segmentação ou encerramentos anormais ao lidar com arquivos PSB.
Sinalize uploads de PSB recebidos para revisão em fluxos que normalmente não os aceitam.

Limitações das informações disponíveis

O registro não traz detalhes de prova de conceito, pré-requisitos de exploração além da descrição, nem lista de versões corrigidas no campo de correções.
Não há dados de KEV, EPSS ou SSVC para esta CVE.
As configurações exatas de 32 bits afetadas não são enumeradas no registro.

Perguntas frequentes

O que é a CVE-2026-56367?

É um estouro de inteiro no caminho de decodificação RLE de arquivos PSB (PSD v2) do ImageMagick, na função ReadPSDChannelRLE em coders/psd.c, que causa leitura de heap fora dos limites em builds de 32 bits.

O que o registro diz que pode acontecer?

O registro informa que o processamento de um arquivo PSB construído com esse objetivo pode levar à divulgação de informações ou a uma falha.

Esta CVE é explorada ativamente?

Ela não consta no catálogo KEV da CISA no registro, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.