Vulnerabilidades críticas en libvips exponen sistemas Ubuntu a DoS y ejecución de código
Múltiples vulnerabilidades en libvips afectan a las principales versiones LTS de Ubuntu, pudiendo permitir denegación de servicio o ejecución remota de código.
Resumen
- Cuatro fallos de alta gravedad encontrados en la biblioteca de procesamiento de imágenes libvips
- Afecta a las versiones LTS de Ubuntu desde la 16.04 hasta la 26.04
- Las vulnerabilidades incluyen desbordamientos de enteros y validación incorrecta de entradas
- Los atacantes pueden provocar fallos o potencialmente ejecutar código arbitrario
- Las organizaciones deben actualizar los sistemas afectados de inmediato
Investigadores de seguridad han descubierto múltiples vulnerabilidades críticas en libvips, una biblioteca de procesamiento de imágenes ampliamente utilizada que se distribuye con varias versiones de Ubuntu de Soporte a Largo Plazo (LTS). Estas fallas podrían permitir a atacantes hacer que las aplicaciones que usan libvips fallen o, en algunos casos, ejecutar código arbitrario en sistemas vulnerables.
Las vulnerabilidades afectan a las distribuciones Ubuntu desde la 16.04 hasta la 26.04 LTS, destacando la importancia de mantener parches de seguridad actualizados incluso en plataformas de soporte prolongado. Las organizaciones que dependen de estas versiones de Ubuntu deben priorizar la aplicación de las actualizaciones correspondientes.
Impacto técnico y escenarios de ataque
- Un desbordamiento de enteros en la operación vipsload (CVE-2026-33327) puede provocar corrupción de montículo y potencial ejecución remota de código
- Un desbordamiento de enteros similar en gifload afecta únicamente sistemas de 32 bits (CVE-2026-33328), causando denegación de servicio mediante fallos en la aplicación
- Una falla en el manejo de PDFs (CVE-2025-59933) permite a los atacantes provocar fallos o filtrar contenidos sensibles de memoria al procesar archivos mal formados
- Un bypass en la validación de metadatos EXIF (CVE-2026-33329) posibilita la denegación de servicio mediante archivos de imagen manipulados
Sistemas afectados y mitigación
- Las versiones LTS de Ubuntu 16.04, 18.04, 20.04, 22.04 y 24.04 contienen paquetes vulnerables de libvips
- Ubuntu 26.04 LTS está específicamente afectada por la vulnerabilidad de desbordamiento de enteros en gifload
- Las aplicaciones que utilizan libvips para procesar imágenes no confiables están en riesgo de ser explotadas
- Los administradores de sistemas deben aplicar inmediatamente los parches del Aviso de Seguridad de Ubuntu USN-8994-1
- Considere implementar validación de entradas y entornos aislados (sandboxing) en flujos de trabajo de procesamiento de imágenes como capas adicionales de defensa
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.