Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-789

CVE-2026-62297

ag-psd kütüphanesinde bildirilen PSD boyutlarına dayalı kontrolsüz bellek ayırma (DoS)

Agamnentzar ag-psd

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
31 Eki 2026
Açık yaşı
2 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, internetten gelen dosyaları işleyen bir uygulamanın çökmesine veya yavaşlamasına yol açabilir ve hizmet kesintisi riski doğurur. Etkilenen sistemler dosya yükleme veya dönüştürme gibi işlevler sunuyorsa önceliklendirilmelidir. Güncelleme genellikle düşük maliyetli ve hızlı uygulanabilir bir önlemdir.

ÖzetTürkçe

ag-psd, Photoshop belge dosyalarını okuyup yazmaya yarayan bir JavaScript kütüphanesidir. 31.0.0 sürümünden önceki sürümlerde readPsd fonksiyonu, saldırgan tarafından bildirilen PSD boyutlarını gerçek veriyle veya makul bellek sınırlarıyla doğrulamadan görüntü ve katman tamponlarını ayırmaktadır. Bu nedenle çok küçük bir dosya bile çok büyük bellek tahsisine yol açabilir. Bu kütüphaneyi işlenmemiş PSD dosyalarıyla kullanan servisler etkilenmektedir.

Saldırgan ne yapabilir?

Saldırgan, birkaç yüz bayt boyutundaki bir dosyayla bellek tüketimini gigabaytlara çıkararak hizmet dışı bırakma (DoS) saldırısı gerçekleştirebilir. Eşzamanlı istekler belleği tüketebilir ve süreç bellek baskısı altında sonlandırılabilir.

Kaynaktaki açıklama (İngilizce)

ag-psd is a JavaScript library for reading and writing Photoshop Document files. Before the allocation-limit remediation attempt in version 31.0.0, readPsd() commits image and layer buffers from attacker-declared PSD geometry before validating the declarations against the actual available data or sane allocation limits. The psdReader.js implementation sizes off-heap typed arrays using width, height, channels, depth and per-layer rectangles, so a tiny PSD declaring enormous geometry can force multi-gigabyte memory allocation before a later bounds error. The reported 52-byte input on Node 24 produced approximately 3.17 GB peak RSS before a RangeError; under memory pressure the process can be terminated before the error can be caught, and concurrent inputs can exhaust memory. Services reading untrusted PSDs are exposed to denial of service. This differs from genuinely large PSD files whose memory demand is proportional to real input content. Version 31.0.0 adds a composite-image allocation limit, but complete coverage of the separately described layer-rectangle allocation path is not established and requires curator residual/scope review.

Ne yapmalı?

  1. ag-psd kütüphanesini 31.0.0 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncellemeden sonra, uygulamanızın bağımlılıklarında eski sürümün kalmadığını doğrulayın. Genel öneri
  3. Güncelleme yapılamıyorsa, PSD dosyalarını işlemeden önce boyut ve dosya boyutu üzerinde katı sınırlar uygulayın ve işlemi ayrı bir işlemde veya bellek limiti olan bir süreçte çalıştırın. Genel öneri

Ek önlemler

  • Güvenilmeyen PSD dosyalarını doğrudan ana uygulama sürecinde değil, bellek limiti ve zaman aşımı olan izole bir çalışan süreçte işleyin. Genel öneri
  • Sunucunun bellek kullanımını ve eşzamanlı işlem sayısını izleyerek anormal artışları uyarı olarak kaydedin. Genel öneri
  • Kapsam değerlendirmesi: 31.0.0 sürümü bileşik görüntü için bellek sınırı ekler; katman dikdörtgenlerine ilişkin ayırma yolunun tam olarak kapsanıp kapsanmadığı kesin değildir, bu nedenle güncellemeden sonra da kritik servislerde ek sınırlar uygulanması önerilir. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Agamnentzar ag-psd < 31.0.0 31.0.0

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.