CVE-2026-84383: Heap overflow in libheif

CVE-2026-84383 è una falla di heap out-of-bounds write in libheif, libreria per decodifica di file HEIF, HEIC e AVIF. Un file appositamente costruito con riferimenti annidati iden e auxl provoca duplicate piani Alpha a profondità diverse (8, 10, 12 bit). La funzione scale_nearest_neighbor() alloca il piano Alpha in 8 bit ma processa componenti successivi a 10-12 bit, scrivendo uint16_t in memoria 8-bit, causando overflow. Colpisce browser, servizi cloud, editor fotografici.

CVSS 9,8 critical: overflow controllato da geometria di output e valori di campionamento consente esecuzione arbitraria di codice. Patch disponibile in 1.23.2 dal 2026-09-18. Segnali GitHub rilevati il 2026-10-28 indicano attenzione della comunità; nessun exploit pubblicamente confermato nei dati ufficiali.

Amministratori IT e CISO devono aggiornare immediatamente libheif a versione 1.23.2 o successiva in tutti i sistemi che elaborano file HEIF/AVIF (server web, servizi media, container, workstation di design). Verificare dipendenze indirette tramite dependency scanner. Se l'aggiornamento immediato è impossibile, limitare l'upload e l'elaborazione di file HEIF/AVIF a utenti trusted e isolare i sistemi interessati dalla rete critica.