Šta se desilo?

Pronađena je kritična ranjivost u SAIL biblioteci (verzije pre verzije sa commit 36aa5c7ec8a2bb35f6fb867a1177a6f141156b02), koja omogućava napadačima da izazovu prepunjavanje heap memorije pri obradi XWD format slika. Problem nastaje zbog neusklađenosti između dva parametra koja upravljaju formatom piksela - sistem koristi jedan parametar za detektovanje tipa piksela, a drugi za operacije zamene bajtova, što dovodi do pristupa memoriji van dozvoljenih granica.

Koga pogađa?

Ranjivost pogađa sve aplikacije i sisteme koji koriste SAIL biblioteku za učitavanje i obradu slika, posebno one koje rade sa XWD formatom. Pogođeni su korisnici na različitim platformama - Linuksima, Vindouz sistemima i drugim operativnim sistemima na kojima je instalirana ova biblioteka. Rizik je najveći kod web servisa, grafičkih aplikacija i sveobuhvatnih sistema za rukovanje multimedijalom koji koriste SAIL.

Kako se zaštititi?

  • Ažuriraj SAIL biblioteku na verziju koja uključuje zakrpu (commit 36aa5c7ec8a2bb35f6fb867a1177a6f141156b02 ili noviju)
  • Ogranič mogućnost otvaranja XWD datoteka iz nepouzdanih izvora
  • Koristi sandboxing tehnike za aplikacije koje obrađuju slike od neznanog porekla
  • Primeni principu najmanje privilegije za procese koji koriste SAIL
  • Redovno prati sigurnosne obaveze proizvođača biblioteke

Tehnički detalji

CVE identifikator: CVE-2026-40492
Nivo ozbiljnosti: CRITICAL (CVSS 9.8)
Vektor napada: Heap buffer overflow pri obradi XWD slika
Uzrok: Type confusion između pixmap_depth i bits_per_pixel parametara - pri vrednostima pixmap_depth=8 (1 bajt po pikselu) i bits_per_pixel=32, byte-swap petlja pristupa memoriji kao uint32_t pokazivač, čitajući i pišući 4 puta veće od stvarno alociranog memorijskog prostora
Razlika od prethodne greške: Ova ranjivost je odvojena od CVE-2026-27168 (GHSA-3g38-x2pj-mv55), koja je odnosila na bytes_per_line validaciju
Datum objave: 18. april 2026.

Preporuka Sajber Radara

Svi administratori i razvijači koji koriste SAIL biblioteku trebaju hitno ažurirati na patched verziju. Ova kritična ranjivost može dovesti do izvršavanja proizvoljnog koda, pa je primena zaplate imperativ za sve sisteme u produkciji.