libheif 1.22.0 corrige overflow HEIC CVE-2026-32740
El 19 de mayo de 2026, strukturag publico libheif 1.22.0 con un gran lote de correcciones de seguridad. El aviso clave es CVE-2026-32740 (CVSS 8.8): una imagen HEIC o AVIF en rejilla especialmente preparada puede escribir 64 bytes mas alla de un buffer de heap del plano de croma durante la decodificacion normal. Si abre fotos de telefono o descargas no confiables en un visor de escritorio que incluye un libheif antiguo, actualice la app - o convierta antes con una herramienta del navegador como HEIC to JPG cuando solo necesita un JPEG.
Last reviewed: 2026-07-19
What happened
libheif es la biblioteca HEIF/AVIF de codigo abierto detras de muchos visores Linux, generadores de miniaturas y convertidores CLI. El advisory GHSA-frfr-f3vg-2g6j y NVD describen CVE-2026-32740 como un heap-buffer-overflow write en la composicion de tiles de rejilla en versiones hasta 1.21.2. El disparador es un HEIF/AVIF con rejilla 1x4 de tiles de altura impar en YCbCr 4:2:0. Las notas de v1.22.0 listan esa CVE y un conjunto largo de overflows, OOB y memoria no inicializada (unos dieciocho advisories en la seccion Security). Abrir el archivo con el build por defecto basta - no hace falta un plugin especial.
| Detail | Value |
|---|---|
| Library | libheif (strukturag) |
| Fixed release | 1.22.0 (2026-05-19) |
| Key CVE | CVE-2026-32740 (CVSS 8.8) |
| Affected | libheif <= 1.21.2 |
| Trigger | Crafted HEIC/AVIF grid decode |
| Advisory | GHSA-frfr-f3vg-2g6j |
Why it matters for everyday files
iPhone y muchos Android siguen guardando fotos como HEIC. Los amigos las envian por chat; los archivos guardan anos de .heic junto a JPEG. Las apps de escritorio que decodifican esos archivos a menudo usan libheif, no la pila de Apple. Una escritura de heap al abrir significa que una imagen hostil no es solo "no se ve la vista previa" - puede corromper memoria en el mismo proceso que sus otros archivos. Es la misma clase de riesgo que un PDF hostil en Reader de escritorio. Las rutas de conversion en el navegador que no instalan libheif local son practicas para HEIC no confiable. Para el contexto de por que HEIC aparecio en los telefonos, vea HEIC arrived with iOS 11.
What to do with your files right now
Si decodifica HEIC o AVIF en escritorio o servidor:
- Actualice libheif a 1.22.0 o mas nuevo en gestores de paquetes, tiendas de apps o cualquier conversor propio (heif-dec / heif-convert).
- Recompile o actualice visores que enlazan libheif de forma estatica - un bump de la distro puede no cubrir un binario empaquetado.
- Trate adjuntos .heic/.avif inesperados como no confiables hasta que el decoder este parcheado; prefiera convertir en el navegador con HEIC to JPG cuando solo necesita un JPEG compartible.
- Guarde una copia JPEG o PNG de fotos importantes si aun comparte con PCs retrasados en HEIC (vea la nota de historia arriba).