imgproxy
imgproxy: overflow di interi nel caricatore ICO causa heap buffer overflow, crash o esecuzione di codice
Il problema, secondo i dati ufficiali
- Nel caricatore di immagini ICO (vips/icoload.c) un valore data_size costruito ad arte provoca un integer overflow che altera la dimensione dell'allocazione. Ne deriva un heap buffer overflow che corrompe la memoria heap.
- Un attaccante remoto può inviare un'immagine ICO manipolata per bloccare il processo o, potenzialmente, eseguire codice. Secondo il punteggio ufficiale, la falla si sfrutta via rete e senza bisogno di un account, quindi anche da internet se il servizio è esposto.
Cosa fare
- Aggiorna imgproxy alla versione 4.0.16 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- imgproxy: dalla 4.0.0 alla 4.0.16 esclusa
Fonti ufficiali
- github.com — avviso del produttore
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
imgproxy from 4.0.0 before 4.0.16 contains an integer overflow in the ICO loader that allows remote attackers to trigger a heap buffer overflow via a crafted data_size value. Attackers can submit a crafted ICO image whose data_size wraps the allocation in vips/icoload.c, corrupting heap memory to crash the process or achieve code execution.
Non sai se ti riguarda?
Se usi imgproxy e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 9 novembre 2026. Prima di intervenire verifica l'avviso del produttore.