libheif 1.22.0 perbaiki overflow HEIC CVE-2026-32740
Pada 19 Mei 2026, strukturag merilis libheif 1.22.0 dengan paket perbaikan keamanan besar. Sorotan utamanya CVE-2026-32740 (CVSS 8.8): gambar HEIC atau AVIF grid yang disusun khusus dapat menulis 64 byte melewati buffer heap bidang kroma saat dekode normal. Jika Anda membuka foto ponsel atau unduhan tak dipercaya di viewer desktop yang menyertakan libheif lama, perbarui aplikasinya - atau konversi dulu dengan alat peramban seperti HEIC to JPG bila hanya butuh JPEG.
Last reviewed: 2026-07-19
What happened
libheif adalah pustaka HEIF/AVIF open-source umum di balik banyak viewer Linux, pembuat thumbnail, dan konverter CLI. Advisory GHSA-frfr-f3vg-2g6j dan NVD menggambarkan CVE-2026-32740 sebagai heap-buffer-overflow write pada komposisi tile grid di versi hingga 1.21.2. Pemicunya adalah HEIF/AVIF dengan grid 1x4 tile berukuran tinggi ganjil pada YCbCr 4:2:0. Catatan rilis v1.22.0 mencantumkan CVE itu plus rangkaian overflow, OOB, dan memori belum diinisialisasi (sekitar delapan belas advisory di bagian Security). Membuka file dengan build default sudah cukup - tidak perlu plugin khusus.
| Detail | Value |
|---|---|
| Library | libheif (strukturag) |
| Fixed release | 1.22.0 (2026-05-19) |
| Key CVE | CVE-2026-32740 (CVSS 8.8) |
| Affected | libheif <= 1.21.2 |
| Trigger | Crafted HEIC/AVIF grid decode |
| Advisory | GHSA-frfr-f3vg-2g6j |
Why it matters for everyday files
iPhone dan banyak Android masih menyimpan foto sebagai HEIC. Teman mengirim lewat chat; arsip menyimpan bertahun-tahun .heic di samping JPEG. Aplikasi desktop yang mendekode file itu sering memakai libheif, bukan tumpukan Apple. Penulisan heap saat buka berarti gambar jahat bukan hanya "pratinjau gagal" - bisa merusak memori di proses yang sama dengan file lain. Itu kelas risiko yang sama dengan PDF jahat di Reader desktop. Jalur konversi di peramban yang tidak memasang libheif lokal praktis untuk HEIC tak dipercaya. Untuk konteks mengapa HEIC muncul di ponsel, lihat HEIC arrived with iOS 11.
What to do with your files right now
Jika Anda mendekode HEIC atau AVIF di desktop atau server:
- Perbarui libheif ke 1.22.0 atau lebih baru lewat manajer paket, toko aplikasi, atau konverter buatan sendiri (heif-dec / heif-convert).
- Bangun ulang atau perbarui viewer yang menautkan libheif secara statis - bump paket distro mungkin tidak mencakup biner yang dibundel.
- Perlakukan lampiran .heic/.avif tak terduga sebagai tak dipercaya sampai decoder dipatch; utamakan konversi di peramban dengan HEIC to JPG bila hanya butuh JPEG untuk dibagikan.
- Simpan salinan JPEG atau PNG untuk foto penting jika masih berbagi ke PC yang lambat mendukung HEIC (lihat catatan sejarah di atas).