CVE-2026-21125: критическая уязвимость в парсере HEIF на устройствах Samsung
В компоненте libsimba.heifdec.media.samsung.so обнаружена уязвимость неправильной проверки входных данных при разборе формата HEIF. Проблема затрагивает мобильные устройства Samsung и позволяет локальному атакующему потенциально выполнить произвольный код. Оценка критичности — 8.6 (HIGH).
Подробности
Уязвимость затрагивает библиотеку libsimba.heifdec.media.samsung.so — компонент, отвечающий за разбор изображений в формате HEIF (High Efficiency Image File Format). Формат HEIF широко используется на устройствах Samsung для хранения фотографий, в том числе в режимах съёмки с расширенным динамическим диапазоном и в «живых» снимках. Причиной уязвимости стала неправильная проверка входных данных при парсинге структур внутри HEIF-файла. По описанию CVE, недостаточная валидация позволяет локальному атакующему потенциально выполнить произвольный код в контексте уязвимого компонента. Вектор атаки — локальный (AV:L), то есть эксплойт требует либо физического доступа к устройству, либо предварительного запуска кода на нём. Тем не менее высокие оценки по сложности эксплуатации и влиянию на конфиденциальность, целостность и доступность определяют итоговый балл 8.6. Поскольку речь идёт об обработке медиафайлов, наиболее вероятный сценарий — открытие специально сформированного HEIF-изображения. Это делает уязвимость особенно опасной в связке с другими векторами доставки: например, файл может быть получен через мессенджер, электронную почту, браузер или облачное хранилище. Парсеры медиаформатов традиционно относятся к классу «атакуемых» компонентов, так как обрабатывают недоверенные данные из внешних источников. Уязвимость устранена в составе обновления безопасности SMR Oct-2026 Release 1 (Samsung Mobile Security Maintenance Release). Пользователям, которые ещё не установили это обновление, рекомендуется сделать это как можно скорее.Что делать
Основная и самая надёжная мера — установить обновление безопасности SMR Oct-2026 Release 1 или более позднее. Проверить наличие апдейта можно по пути «Настройки» → «Обновление ПО» → «Загрузить и установить». Дополнительные рекомендации на период до установки патча: — избегать открытия HEIF-файлов из неизвестных или подозрительных источников; — не запускать вложения и ссылки на изображения от незнакомых отправителей; — по возможности ограничить передачу медиафайлов через недоверенные каналы; — следить за официальными уведомлениями Samsung о выходе патчей для конкретной модели устройства, так как сроки распространения обновлений могут различаться. Также стоит учитывать, что локальный характер атаки не отменяет рисков: вредоносное приложение, уже присутствующее на устройстве, может использовать эту уязвимость для повышения привилегий или расширения доступа к данным. Итог: CVE-2026-21125 — серьёзная уязвимость в системном парсере HEIF на мобильных устройствах Samsung с высоким показателем CVSS. Единственная надёжная защита — своевременная установка обновления SMR Oct-2026 Release 1. До применения патча следует проявлять осторожность при работе с медиафайлами из ненадёжных источников.Источник: CVE Project (cvelistV5)