CVE-2026-120437
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Netpbm est une suite d'outils de traitement d'images utilisée pour convertir et manipuler divers formats graphiques. Les versions antérieures à 10.86.51, 11.02.30 et 11.15.08 contiennent une faille dans la fonction de gestion des pixels du convertisseur `tgatoppm`. Le logiciel ne vérifie pas si les valeurs des pixels d'un fichier Targa correspondent à la palette de couleurs déclarée, ce qui entraîne une lecture de mémoire hors limites.
Un attaquant peut provoquer le plantage du convertisseur ou faire fuiter de petites quantités de mémoire adjacente dans l'image de sortie résultante. Cela nécessite que la victime traite manuellement un fichier Targa spécialement conçu par l'attaquant. Comme l'exploitation nécessite le traitement d'un fichier local et une interaction de l'utilisateur, il ne s'agit pas d'un vecteur d'attaque à distance.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Netpbm before 10.86.51, 11.x before 11.02.30, and 11.03 before 11.15.08 contains an out-of-bounds read vulnerability in the tgatoppm converter's get_pixel() function that uses unchecked pixel values as color map indexes. Attackers can supply a crafted color-mapped Targa file whose pixel values exceed the declared color map bounds to crash the converter or leak adjacent memory into the output image.