p PatchFirst

CVE-2026-34588

CVE-2026-34588 · OpenEXR has a signed 32-bit Overflow in PIZ Decoder Leads to OOB Read/Write

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

OpenEXR provides the specification and reference implementation of the EXR file format, an image storage format for the motion picture industry. From 3.1.0 to before 3.2.7, 3.3.9, and 3.4.9, internal_exr_undo_piz() advances the working wavelet pointer with signed 32-bit arithmetic. Because nx, ny, and wcount are int, a crafted EXR file can make this product overflow and wrap. The next channel then decodes from an incorrect address. The wavelet decode path operates in place, so this yields both out-of-bounds reads and out-of-bounds writes. This vulnerability is fixed in 3.2.7, 3.3.9, and 3.4.9.

CVSS 8.6 · Élevée · EPSS 0,5% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · python

Produits et versions concernés

  • openexr

    Versions du logiciel
    • >= 3.1.0, <= 3.1.13: Concernée
    • >= 3.2.0, < 3.2.7: Concernée
    • >= 3.3.0, < 3.3.9: Concernée
    • >= 3.4.0, < 3.4.9: Concernée

    Aucun correctif publié

  • openexr Debian:12

    Versions du logiciel
    • 3.1.13-1
    • 3.1.13-2
    • 3.1.5-5
    • 3.1.5-5.1
    • 3.1.5-5.1+hurd.1
    • 3.4.14-0.1
    • 3.4.15+ds-1
    • 3.4.16+ds-1
    • 3.4.6+ds-1
    • 3.4.6+ds-2
    • 3.4.6+ds-3
    • 3.4.6+ds-4
    • 3.5.2+ds-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • openexr Debian:13

    Versions du logiciel
    • 3.1.13-2
    • 3.4.14-0.1
    • 3.4.15+ds-1
    • 3.4.16+ds-1
    • 3.4.6+ds-1
    • 3.4.6+ds-2
    • 3.4.6+ds-3
    • 3.4.6+ds-4
    • 3.5.2+ds-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • openexr Debian:14

    Versions du logiciel
    • 3.1.13-2
    • 3.4.6+ds-1
    • 3.4.6+ds-2
    • 3.4.6+ds-3
    • 3.4.6+ds-4
    Plages de versions concernées
    • ECOSYSTEM: < 3.4.14-0.1

    Mettez à jour vers 3.4.14-0.1

  • openexr PyPI

    Versions du logiciel
    • 3.2.3
    • 3.2.4
    • 3.2.5
    • 3.2.6
    Plages de versions concernées
    • ECOSYSTEM: ≥ 3.1.0, < 3.2.7

    Mettez à jour vers 3.2.7

  • openexr PyPI

    Versions du logiciel
    • 3.3.0
    • 3.3.1
    • 3.3.2
    • 3.3.3
    • 3.3.4
    • 3.3.5
    • 3.3.6
    • 3.3.7
    • 3.3.8
    Plages de versions concernées
    • ECOSYSTEM: ≥ 3.3.0, < 3.3.9

    Mettez à jour vers 3.3.9

  • openexr PyPI

    Versions du logiciel
    • 3.4.0
    • 3.4.1
    • 3.4.2
    • 3.4.3
    • 3.4.4
    • 3.4.5
    • 3.4.6
    • 3.4.7
    • 3.4.8
    Plages de versions concernées
    • ECOSYSTEM: ≥ 3.4.0, < 3.4.9

    Mettez à jour vers 3.4.9

  • openexr PyPI

    Versions du logiciel
    • 3.2.3
    • 3.2.4
    • 3.2.5
    • 3.2.6
    • 3.3.0
    • 3.3.1
    • 3.3.2
    • 3.3.3
    • 3.3.4
    • 3.3.5
    • 3.3.6
    • 3.3.7
    • 3.3.8
    • 3.4.0
    • 3.4.1
    • 3.4.2
    • 3.4.3
    • 3.4.4
    • 3.4.5
    • 3.4.6
    • 3.4.7
    • 3.4.8
    Plages de versions concernées
    • ECOSYSTEM: ≥ 3.1.0, < 3.2.7 ∪ ≥ 3.3.0, < 3.3.9 ∪ ≥ 3.4.0, < 3.4.9

    Mettez à jour vers 3.2.7; Mettez à jour vers 3.3.9; Mettez à jour vers 3.4.9

  • openexr Ubuntu:Pro:24.04:LTS

    Versions du logiciel
    • 3.1.5-5.1
    • 3.1.5-5.1build1
    • 3.1.5-5.1build2
    • 3.1.5-5.1build3
    Plages de versions concernées
    • ECOSYSTEM: < 3.1.5-5.1ubuntu0.1~esm1

    Mettez à jour vers 3.1.5-5.1ubuntu0.1~esm1

  • openexr Ubuntu:25.10

    Versions du logiciel
    • 3.1.13-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • openexr Ubuntu:26.10

    Versions du logiciel
    • 3.1.13-2build1
    • 3.4.6+ds-4ubuntu3
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • openexr Ubuntu:Pro:26.04:LTS

    Versions du logiciel
    • 3.1.13-2
    • 3.1.13-2build1
    Plages de versions concernées
    • ECOSYSTEM: < 3.1.13-2ubuntu0.26.04.1~esm1

    Mettez à jour vers 3.1.13-2ubuntu0.26.04.1~esm1

Sources originales

Vérifiez votre serveur →