Academy Software FoundationのOpenEXRにおいて、EXRファイル解析時のヒープベースのバッファオーバーフローを原因とするリモートコード実行の脆弱性が存在します。この脆弱性により、リモートの攻撃者が影響を受けるOpenEXRのインストール環境上で任意のコードを実行できます。攻撃を成立させるためには、標的ユーザーが悪意のあるウェブページを訪問するか、悪意のあるファイルを開くといった操作を行う必要があります。具体的な欠陥は、EXRファイルの解析処理にあり、ユーザー提供のデータ長をヒープベースのバッファにコピーする前に適切な検証を行っていないことが原因です。攻撃者はこの脆弱性を悪用して、現在のプロセス権限でコードを実行可能です。この脆弱性は以前にZDI-CAN-27947として報告されていました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。