Më 30 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-hff9-5pqw-6w9f për një dobësi me rrezikshmëri kritike (CVSS 9.8) në paketën github.com/imgproxy/imgproxy/v3 të ekosistemit Go. Dobësia prek gjithsej 3 paketa.
Paketat e prekura
- github.com/imgproxy/imgproxy/v3 (Go) — versionet e prekura:
>= 4.0.0, < 4.0.16; versioni me rregullim:4.0.16 - github.com/imgproxy/imgproxy/v2 (Go) — versionet e prekura:
>= 4.0.0, < 4.0.16; versioni me rregullim:4.0.16 - github.com/imgproxy/imgproxy (Go) — versionet e prekura:
>= 4.0.0, < 4.0.16; versioni me rregullim:4.0.16
Detaje
- Rrezikshmëria: Kritike (CVSS 9.8)
- CWE: CWE-122 (Heap-based Buffer Overflow), CWE-190 (Integer Overflow or Wraparound)
- Identifikuesit: GHSA-hff9-5pqw-6w9f
Përmbledhja zyrtare
imgproxy: Integer overflow në ngarkuesin ICO shkakton mohim shërbimi dhe mund të lejojë ekzekutim kodi në distancë
Ngarkuesi ICO i imgproxy alokon data_size + BMP_FILE_HEADER_LEN bajte pasi lexon një vlerë 32-bitëshe data_size të kontrolluar nga sulmuesi. Për data_size UINT32_MAX – BMP_FILE_HEADER_LEN, mbledhja pëson tejkalim të kapacitetit numerik përpara alokimit, duke krijuar një hapësirë memorieje më të vogël se ajo e nevojshme.
Më pas, imgproxy shkruan prefiksin ICO dhe lexon deri në madhësinë e deklaruar fillimisht, duke nisur 14 bajte pas fillimit të memories së alokuar. Kjo shkakton tejkalim të memories heap, të cilin një klient rrjeti mund ta shfrytëzojë për të shkaktuar mohim shërbimi në distancë ose, potencialisht, ekzekutim kodi në distancë.
Rruga e cenueshme e kodit ndodhet në skedarin vips/icoload.c, në commit f4fedbb.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin github.com/imgproxy/imgproxy/v3, përditësojeni sa më shpejt në versionin 4.0.16 ose më të ri.
