Cyber ·
jxrlib: falhas de memória em arquivos JPEG XR danificados e correção no fork 1.4.4
Aviso no oss-sec descreve falhas de memória na biblioteca jxrlib, abandonada upstream, acionadas por arquivo JPEG XR danificado de algumas centenas de bytes, com escrita além do buffer na heap. As correções estão no fork 1.4.4, lançado em 9 de outubro de 2026.
O aviso, publicado em 24 de outubro de 2026 por um pesquisador na lista oss-sec, trata da jxrlib, biblioteca JPEG XR originalmente desenvolvida pela Microsoft e abandonada no upstream. Segundo o texto, um arquivo JPEG XR danificado de algumas centenas de bytes pode acionar falhas de memória, incluindo uma escrita além do buffer na heap. Todas as falhas citadas foram corrigidas publicamente no fork mantido em github.com/mircomir/jxrlib, versão 1.4.4, lançada em 9 de outubro de 2026. O autor afirma que a maioria das distribuições ainda fornece versões antigas. As falhas foram encontradas com fuzzing dos decodificadores de um visualizador de imagens. O texto disponível está truncado antes da lista com números de linha, portanto não é possível detalhar aqui quais funções ou versões exatas são afetadas. Para verificar, consulte o original no arquivo do oss-sec citado no aviso, compare a versão instalada com a 1.4.4 e verifique o changelog da sua distribuição.