USN-8994-1: nove falle in libvips, da DoS a possibile esecuzione di codice

Ubuntu ha pubblicato il 3 novembre 2026 l'avviso USN-8994-1, che corregge nove vulnerabilità in libvips, la libreria di elaborazione immagini che gira sotto molti servizi di resize e conversione usati da siti e CMS. Per chi tiene un'istanza con pipeline di upload immagini (gallerie, e-commerce, CMS con thumbnail automatiche) è una patch da non rimandare, perché alcune falle toccano direttamente il parsing di file caricati da utenti esterni.

Cosa corregge l'avviso

Tra i problemi più seri ci sono quattro integer overflow che possono portare a esecuzione di codice arbitrario, oltre a vari crash (denial of service) e due casi di possibile fuga di informazioni sensibili. Il dettaglio:

CVE	Problema	Effetto	Release coinvolte
CVE-2025-59933	PDF con larghezza ma senza altezza	crash o fuga dati	16.04-24.04
CVE-2026-33327	overflow in vipsload	crash o esecuzione codice	tutte
CVE-2026-33328	overflow in gifload su 32-bit	crash	24.04, 26.04
CVE-2026-35590	validazione gruppi EXIF	crash	tutte
CVE-2026-35591	canali errati in tile TIFF	crash o esecuzione codice	22.04, 24.04, 26.04
CVE-2026-69242	overflow scanline TIFF multibanda	crash, fuga dati o esecuzione codice	tutte
CVE-2026-70651	altezza frame TIFF via ImageMagick	crash	tutte
CVE-2026-70653	gestione immagini Radiance	fuga dati	tutte
CVE-2026-70654	read size su PPM non compressi	crash o esecuzione codice	20.04-26.04

È stato scoperto che libvips non gestiva correttamente alcuni file PDF con una pagina che definisce una larghezza ma non un'altezza. Un aggressore potrebbe usare questo problema per causare il crash di libvips, con conseguente denial of service, oppure ottenere informazioni sensibili.

Il pacchetto interessato è vips - image processing system good for very large ones, componente presente di default su molte distribuzioni server.

Chi deve preoccuparsene

libvips non è solo una libreria di sistema isolata: è usato come motore di elaborazione immagini da Mastodon, sharp (su Node.js), imgproxy, wsrv.nl, bimg, Ruby on Rails, CarrierWave, MediaWiki. Chi ospita applicazioni Node.js che processano upload di immagini tramite Sharp, o installazioni WordPress/MediaWiki con elaborazione server-side, eredita la stessa superficie di attacco.

Come applicare la patch

Su tutte le release coinvolte — da Ubuntu 16.04 LTS a 26.04 LTS — la correzione è distribuita tramite Ubuntu Pro via ESM Apps: le versioni patchate vanno da libvips42-8.2.2-1ubuntu0.1esm1 (16.04) a libvips42t64-8.18.0-1ubuntu0.1esm2 (26.04). Senza un abbonamento Ubuntu Pro attivo, l'unica strada resta attendere un'eventuale fix pubblica della community, non ancora disponibile. Il comando standard sudo apt update && sudo apt upgrade applica la correzione sui sistemi già coperti da Ubuntu Pro.