CVE-2026-94287: отказ в обслуживании через целочисленное переполнение в libXpm
В библиотеке libXpm до версии 3.5.19 обнаружена уязвимость CVE-2026-94287, позволяющая локальному атакующему вызвать неограниченную нагрузку на процессор и исчерпание памяти. Проблема связана с беззнаковым целочисленным переполнением на пути записи. Критичность оценивается как средняя (CVSS 5.5).
Подробности
Уязвимость затрагивает libXpm версий до 3.5.19. Она связана с беззнаковым целочисленным переполнением (unsigned underflow), возникающим на пути записи библиотеки. При обработке специально подготовленных данных значение может уменьшиться ниже нуля в беззнаковом контексте, что приводит к некорректному расчёту размеров. В результате возникает неограниченное потребление ресурсов процессора и исчерпание оперативной памяти. Согласно описанию, эксплуатация возможна локальным атакующим. То есть злоумышленник, уже имеющий доступ к системе или возможность запускать код на целевом узле, может вызвать состояние отказа в обслуживании приложения, использующего libXpm для операций записи. Вектор CVSS 5.5 отражает умеренную опасность: уязвимость не позволяет выполнить произвольный код или повысить привилегии, но способна нарушить доступность сервиса. Стоит отметить, что libXpm широко применяется в графических приложениях и оконных средах на базе X11, поэтому уязвимость может затрагивать множество дистрибутивов Linux и других UNIX-подобных систем, где библиотека установлена.Что делать
Основная рекомендация — обновить libXpm до версии 3.5.19 или более поздней. Исправленные пакеты следует устанавливать через штатные менеджеры обновлений дистрибутива (apt, dnf, yum, zypper и аналоги), чтобы гарантировать совместимость и целостность системы. Если немедленное обновление невозможно, стоит рассмотреть временные митигации: — ограничить возможность локальных пользователей запускать приложения, выполняющие запись XPM-файлов через уязвимую библиотеку; — применять ограничения ресурсов (cgroups, ulimit) для процессов, работающих с libXpm, чтобы снизить последствия возможного исчерпания памяти и CPU; — использовать системы обнаружения аномальной нагрузки, способные зафиксировать всплески потребления ресурсов. В корпоративной среде рекомендуется провести инвентаризацию систем, где установлена libXpm, и приоритизировать обновления на узлах с многопользовательским доступом. Итог: CVE-2026-94287 — локальная уязвимость отказа в обслуживании в libXpm, вызванная беззнаковым переполнением на пути записи. Несмотря на средний уровень критичности, она способна нарушить работу графических приложений и сервисов. Единственное надёжное решение — обновление до libXpm 3.5.19 либо применение компенсирующих мер до установки патча.Источник: CVE Project (cvelistV5)