libheif 1.22.0 corrige overflow HEIC CVE-2026-32740
Em 19 de maio de 2026, a strukturag lancou o libheif 1.22.0 com um lote grande de correcoes de seguranca. O destaque e CVE-2026-32740 (CVSS 8.8): uma imagem HEIC ou AVIF em grade especialmente montada pode escrever 64 bytes alem de um buffer de heap do plano de croma durante a decodificacao normal. Se voce abre fotos de celular ou downloads nao confiaveis em um visualizador desktop que embute um libheif antigo, atualize o app - ou converta antes com uma ferramenta no navegador como HEIC to JPG quando so precisa de um JPEG.
Last reviewed: 2026-07-19
What happened
libheif e a biblioteca HEIF/AVIF open-source comum por tras de muitos visualizadores Linux, geradores de miniaturas e conversores CLI. O advisory GHSA-frfr-f3vg-2g6j e o NVD descrevem CVE-2026-32740 como um heap-buffer-overflow write na composicao de tiles de grade em versoes ate 1.21.2. O gatilho e um HEIF/AVIF com grade 1x4 de tiles de altura impar em YCbCr 4:2:0. As notas do v1.22.0 listam essa CVE e um conjunto longo de overflows, OOB e memoria nao inicializada (cerca de dezoito advisories na secao Security). Abrir o arquivo com o build padrao basta - nao precisa de plugin especial.
| Detail | Value |
|---|---|
| Library | libheif (strukturag) |
| Fixed release | 1.22.0 (2026-05-19) |
| Key CVE | CVE-2026-32740 (CVSS 8.8) |
| Affected | libheif <= 1.21.2 |
| Trigger | Crafted HEIC/AVIF grid decode |
| Advisory | GHSA-frfr-f3vg-2g6j |
Why it matters for everyday files
iPhones e muitos Androids ainda gravam fotos em HEIC. Amigos enviam por chat; arquivos guardam anos de .heic ao lado de JPEG. Apps desktop que decodificam esses arquivos muitas vezes usam libheif, nao a pilha da Apple. Uma escrita de heap ao abrir significa que uma imagem hostil nao e so "nao abre o preview" - pode corromper memoria no mesmo processo dos seus outros arquivos. E a mesma classe de risco de um PDF hostil no Reader desktop. Caminhos de conversao no navegador que nao instalam libheif local sao praticos para HEIC nao confiavel. Para o contexto de por que o HEIC surgiu nos telefones, veja HEIC arrived with iOS 11.
What to do with your files right now
Se voce decodifica HEIC ou AVIF no desktop ou servidor:
- Atualize o libheif para 1.22.0 ou mais novo em gerenciadores de pacote, lojas de apps ou qualquer conversor proprio (heif-dec / heif-convert).
- Recompile ou atualize visualizadores que linkam libheif estaticamente - um bump da distro pode nao cobrir um binario empacotado.
- Trate anexos .heic/.avif inesperados como nao confiaveis ate o decoder estar patchado; prefira converter no navegador com HEIC to JPG quando so precisa de um JPEG compartilhavel.
- Guarde uma copia JPEG ou PNG das fotos importantes se ainda compartilha com PCs atrasados em HEIC (veja a nota de historia acima).