Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - OpenEXR は、映画業界で広く使用されている EXR イメージ ファイル形式の参照実装および仕様です。3.3.0〜3.3.12、3.4.0〜3.4.13のバージョンでは、レイヤープレフィックス付きRGBチャネルを使用する細工されたディープスキャンラインEXRを読み取ると、PyOpenEXR Pythonバインディングが古いヒープデータを返します。デフォルトのチャネル合体(separate_channels=False)を使用すると、ラッパーはleftなどのチャネルをグループ化します。R、左。G、そして去りました。B を単一の RGB サンプル配列に置き換えますが、PyPart::setDeepSliceData() のレーンオフセット計算では、プレフィックスのない正確な名前 G、B、A のみが認識されます。その結果、プレフィックスのあるチャネルはleft。Gして去りました。B はレーン 0 にデコードされ、レーン 1 と 2 は初期化されずに Python に返されます。デフォルトのOpenEXR.File APIを介して信頼できないディープEXRファイルを読み取り、結果のNumPyサンプル配列をログ、シリアル化、プレビュー、またはその他の方法で処理するPythonアプリケーションは、不適切な緑と青のチャネルデータを受信するだけでなく、初期化されていない同一プロセスのヒープコンテンツを漏えいさせる可能性があります。この問題はバージョン 3.3.13および 3.4.14で修正されています。(CVE-2026-62986)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-62986

medium Nessus プラグイン ID 339682

バージョン 1.3