CVE.futuretools
FAQ
NVD NIST
GHSA-HFF9-5PQW-6W9F

imgproxy has integer overflow in imgproxy ICO loader that causes denial of service and may permit remote code execution

CVSS 3.1Critical
N/A/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновить imgproxy до версии 4.0.16 или более поздней.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Целочисленное переполнение в парсере формата ICO микросервиса imgproxy приводит к повреждению памяти кучи. Дефект вызывает аварийную остановку рабочих процессов (DoS) с потенциальной возможностью удаленного выполнения кода (RCE).

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В файле vips/icoload.c при вычислении размера буфера для входящего ICO-файла происходит целочисленное переполнение. Выделенный буфер оказывается критически мал, а последующее копирование распакованных графических данных приводит к heap-based buffer overflow (CWE-122, CWE-787).

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Удаленный неаутентифицированный атакующий может вызвать DoS рабочих процессов (SIGSEGV/SIGABRT) или выполнить произвольный код в контексте контейнера imgproxy.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости GHSA-HFF9-5PQW-6W9F: imgproxy has integer overflow in imgproxy ICO loader that causes denial of service and may permit remote code execution. URL: https://cve.futuretools.ru/cve/GHSA-HFF9-5PQW-6W9F
BibTeX формат (LaTeX)
@misc{cve_futuretools_ghsa_hff9_5pqw_6w9f,
  title = {{GHSA-HFF9-5PQW-6W9F: imgproxy has integer overflow in imgproxy ICO loader that causes denial of service and may permit remote code execution}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/GHSA-HFF9-5PQW-6W9F}},
  note = {Оперативный инженерный анализ киберугроз}
}