Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-12090

Опубликовано: 03 апр. 2026
Источник: fstec
CVSS3: 7.1
CVSS2: 8.5
EPSS Низкий

Описание

Уязвимость функции do_layer_surface() компонента src/IMG_xcf.c библиотеки Simple DirectMedia Layer связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного .xcf файла

Вендор

Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
SDL Project

Наименование ПО

Debian GNU/Linux
Astra Linux Special Edition
SDL_image

Версия ПО

11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
1.8 (Astra Linux Special Edition)
13 (Debian GNU/Linux)
4.8 (Astra Linux Special Edition)
до 1.2 (SDL_image)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8
Сообщество свободного программного обеспечения Debian GNU/Linux 13
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.8

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для SDL_image:
https://github.com/libsdl-org/SDL_image/security/advisories/GHSA-gq8w-x74c-h6p7
Для ОС Astra Linux:
обновить пакет sdl-image1.2 до 1.2.12-13.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2026-0806SE48
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2026-35444
Для ОС Astra Linux:
обновить пакет xrdp до 0.10.6-0astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2026-0820SE17
Для ОС Astra Linux:
обновить пакет sdl-image1.2 до 1.2.12-13.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2026-0626SE18
Для ОС Astra Linux:
обновить пакет sdl-image1.2 до 1.2.12-13.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2026-0626SE18
Для ОС Astra Linux:
обновить пакет sdl-image1.2 до 1.2.12-12.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2026-0907SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 18%
0.00262
Низкий

7.1 High

CVSS3

8.5 High

CVSS2

Связанные уязвимости

CVSS3: 7.1
ubuntu
6 месяцев назад

SDL_image is a library to load images of various formats as SDL surfaces. In do_layer_surface() in src/IMG_xcf.c, pixel index values from decoded XCF tile data are used directly as colormap indices without validating them against the colormap size (cm_num). A crafted .xcf file with a small colormap and out-of-range pixel indices causes heap out-of-bounds reads of up to 762 bytes past the colormap allocation. Both IMAGE_INDEXED code paths are affected (bpp=1 and bpp=2). The leaked heap bytes are written into the output surface pixel data, making them potentially observable in the rendered image. This vulnerability is fixed with commit 996bf12888925932daace576e09c3053410896f8.

CVSS3: 7.1
nvd
6 месяцев назад

SDL_image is a library to load images of various formats as SDL surfaces. In do_layer_surface() in src/IMG_xcf.c, pixel index values from decoded XCF tile data are used directly as colormap indices without validating them against the colormap size (cm_num). A crafted .xcf file with a small colormap and out-of-range pixel indices causes heap out-of-bounds reads of up to 762 bytes past the colormap allocation. Both IMAGE_INDEXED code paths are affected (bpp=1 and bpp=2). The leaked heap bytes are written into the output surface pixel data, making them potentially observable in the rendered image. This vulnerability is fixed with commit 996bf12888925932daace576e09c3053410896f8.

CVSS3: 7.1
debian
6 месяцев назад

SDL_image is a library to load images of various formats as SDL surfac ...

EPSS

Процентиль: 18%
0.00262
Низкий

7.1 High

CVSS3

8.5 High

CVSS2