libheif 1.22.0 behebt HEIC-Overflow CVE-2026-32740
Am 19. Mai 2026 hat strukturag libheif 1.22.0 mit einem grossen Sicherheitspaket veroeffentlicht. Der Kernfix ist CVE-2026-32740 (CVSS 8.8): ein speziell gebautes HEIC- oder AVIF-Gitterbild kann waehrend der normalen Dekodierung 64 Bytes hinter einen Chroma-Heap-Puffer schreiben. Wenn Sie Telefonfotos oder unbekannte Downloads in einem Desktop-Viewer mit altem libheif oeffnen, aktualisieren Sie die App - oder wandeln Sie zuerst mit einem Browser-Tool wie HEIC to JPG um, wenn Sie nur ein JPEG brauchen.
Last reviewed: 2026-07-19
What happened
libheif ist die gaengige Open-Source-HEIF/AVIF-Bibliothek hinter vielen Linux-Viewern, Thumbnailern und CLI-Konvertern. Advisory GHSA-frfr-f3vg-2g6j und NVD beschreiben CVE-2026-32740 als Heap-Buffer-Overflow-Write in der Grid-Tile-Komposition bis Version 1.21.2. Der Trigger ist ein HEIF/AVIF mit 1x4-Gitter aus Tiles ungerader Hoehe unter YCbCr 4:2:0. Die Release Notes zu v1.22.0 listen diese CVE plus eine lange Reihe Overflow-, OOB- und Uninitialized-Memory-Fixes (rund achtzehn Advisories im Abschnitt Security). Das Oeffnen mit dem Standard-Build reicht - kein Extra-Plugin noetig.
| Detail | Value |
|---|---|
| Library | libheif (strukturag) |
| Fixed release | 1.22.0 (2026-05-19) |
| Key CVE | CVE-2026-32740 (CVSS 8.8) |
| Affected | libheif <= 1.21.2 |
| Trigger | Crafted HEIC/AVIF grid decode |
| Advisory | GHSA-frfr-f3vg-2g6j |
Why it matters for everyday files
iPhone und viele Android-Geraete speichern Fotos weiterhin als HEIC. Freunde schicken sie per Chat; Archive halten Jahre .heic neben JPEG. Desktop-Apps, die diese Dateien dekodieren, nutzen oft libheif statt Apples Stack. Ein Heap-Write beim Oeffnen heisst: ein feindliches Bild ist nicht nur "Vorschau fehlt" - es kann Speicher im selben Prozess wie Ihre anderen Dateien beschaedigen. Das ist dieselbe Risikoklasse wie ein feindliches PDF im Desktop-Reader. Browser-Konvertierung ohne lokales libheif ist praktisch fuer unbekannte HEIC. Warum HEIC auf Handys landete, erklaert HEIC arrived with iOS 11.
What to do with your files right now
Wenn Sie HEIC oder AVIF auf Desktop oder Server dekodieren:
- Aktualisieren Sie libheif auf 1.22.0 oder neuer ueber Paketmanager, App Stores oder selbst gebaute Konverter (heif-dec / heif-convert).
- Bauen oder aktualisieren Sie Viewer neu, die libheif statisch linken - ein Distro-Bump deckt ein gebundeltes Binary oft nicht ab.
- Behandeln Sie unerwartete .heic/.avif-Anhaenge als untrusted, bis der Decoder gepatcht ist; bevorzugen Sie Browser-Konvertierung mit HEIC to JPG, wenn Sie nur ein teilbares JPEG brauchen.
- Behalten Sie eine JPEG- oder PNG-Kopie wichtiger Fotos, wenn Sie noch mit PCs teilen, die bei HEIC hinterherhinken (siehe Geschichtsnotiz oben).