Уязвимость CVE-2026-109828 в libsndfile: использование неинициализированной переменной при разборе WAV
В библиотеке libsndfile до версии 1.2.2 обнаружена уязвимость CVE-2026-109828, связанная с использованием неинициализированной переменной в функции wavlike_subchunk_parse при обработке WAV-файлов. Проблема получила оценку CVSS 5.3 (MEDIUM). Эксплойт уже опубликован публично, а разработчики проекта пока не отреагировали на отчёт.
Подробности
Уязвимость затрагивает libsndfile вплоть до версии 1.2.2 включительно. Она локализована в функции wavlike_subchunk_parse файла src/wavlike.c, относящегося к компоненту разбора WAV. При обработке специально сформированного WAV-файла происходит использование неинициализированной переменной, что может привести к непредсказуемому поведению программы — вплоть до раскрытия содержимого памяти, отказа в обслуживании или иных последствий в зависимости от контекста использования библиотеки. Согласно описанию CVE, эксплуатация возможна удалённо: достаточно, чтобы уязвимое приложение обработало вредоносный аудиофайл. Уязвимости присвоена базовая оценка CVSS 5.3, что соответствует среднему уровню критичности. Важно отметить, что эксплойт уже стал публично доступен и может быть использован злоумышленниками. Разработчики libsndfile были уведомлены о проблеме через issue-репорт заранее, однако, по данным CVE-записи, пока не отреагировали. Следует учитывать, что libsndfile встраивается во множество приложений и сервисов, поэтому реальный периметр риска шире, чем только сама библиотека: уязвимыми могут оказаться любые продукты, использующие её для разбора аудио.Что делать
На момент публикации официального патча нет. Рекомендуется: - отслеживать обновления libsndfile и установить исправленную версию сразу после её выпуска; - по возможности ограничить автоматическую обработку WAV-файлов из недоверенных источников (вложения в письмах, загрузки из интернета, пользовательский контент); - применять изоляцию процессов, разбирающих медиафайлы (sandbox, контейнеры, ограничение привилегий); - использовать средства контроля целостности и мониторинга аварийных завершений приложений, работающих с аудио; - проверить, использует ли ваше ПО libsndfile, и оценить, насколько критична для вас обработка внешних аудиофайлов. Итог: CVE-2026-109828 — уязвимость среднего уровня в libsndfile, связанная с использованием неинициализированной переменной при разборе WAV. Публичный эксплойт и отсутствие реакции мейнтейнеров повышают актуальность митигаций: ограничьте обработку недоверенных аудиофайлов и следите за выходом обновления библиотеки.Источник: CVE Project (cvelistV5)