Des failles multiples ont été publiées par Ubuntu Security dans la bibliothèque d’imagerie libvips. Cette mise en garde concerne plusieurs versions d’Ubuntu et expose les systèmes utilisant cette librairie à des risques allant du simple déni de service à l’exécution de code arbitraire.

Plusieurs problèmes ont été identifiés. Par exemple, une mauvaise gestion des fichiers PDF, lorsque la page définit une largeur mais pas de hauteur, peut faire planter libvips, causant un déni de service. Ce défaut est catalogué sous la CVE-2025-59933 et affecte les éditions 16.04 LTS, 18.04 LTS, 20.04 LTS, 22.04 LTS et 24.04 LTS.

Le risque s’aggrave avec d’autres failles. Une erreur de débordement d’entier (integer overflow) lors de l’opération vipsload peut permettre à un attaquant de provoquer un crash ou, pire, d’exécuter du code arbitraire. Cette faille est référencée CVE-2026-33327 et concerne les versions précédant ou incluant 8.18.0.

L’éventail des problèmes est large. On note aussi une gestion incorrecte des dimensions dans gifload sur systèmes 32 bits (CVE-2026-33328), une validation insuffisante des balises EXIF (CVE-2026-35590), et des calculs erronés dans les images TIFF, qui peuvent aussi mener à l’exécution de code. Certains cas, comme le traitement de fichiers Radiance ou l’analyse de PPM non compressés, laissent potentiellement des informations sensibles accessibles.

Ce qui est touché et la gravité réelle

La gravité varie selon la faille. L’existence de vulnérabilités permettant une exécution de code arbitraire justifie une réaction rapide des administrateurs systèmes. Les attaques peuvent se déclencher à distance si un attaquant parvient à faire traiter un fichier malveillant par une application utilisant libvips.

La CVE-2025-59933 présente principalement un risque de déni de service, bien que l’obtention d’informations sensibles soit également mentionnée. D’autres vulnérabilités, telles que celle affectant les fichiers TIFF (CVE-2026-35591), permettent l’exécution de code. Selon GitHub, lorsque des utilisateurs compilent libvips avec le support PDF via Poppler, un débordement de tampon lors du traitement d’un PDF mal formé peut stopper le processus sans que l’attaquant n’accède à la mémoire saturée. Ce n’est pas toujours une voie d’attaque directe, mais cela constitue un vecteur qu’il convient de surveiller.

Que faire maintenant

La solution la plus directe, bien sûr, est la mise à jour. Ubuntu Security fournit un tableau précis des versions de paquet à installer selon la version de votre distribution. Par exemple, pour Ubuntu 24.04 LTS (Noble), il faut cibler libvips42t64 en version 8.15.1-1.1ubuntu0.1~esm2. Pour les systèmes plus anciens, les versions spécifiées doivent être appliquées rigoureusement.

Si une mise à jour immédiate n’est pas possible, des contournements existent. Pour les utilisateurs concernés par la gestion PDF via Poppler, on peut bloquer l’opération VipsForeignLoadPdf via vips_operation_block_set ou définir la variable d’environnement VIPS_BLOCK_UNTRUSTED au démarrage du processus. Il ne faut pas se contenter d’une simple alerte ; il faut actionner ces correctifs ou ces blocages immédiatement pour réduire l’exposition.

Fiche technique

Données : NVD (NIST).

Sources

• USN-8994-1: libvips vulnerabilities, Ubuntu Security, 3 novembre 2026
• Avis de sécurité (github.com), github.com, 29 septembre 2025
• CVE-2025-59933, NVD (NIST)
• CVE-2026-33327, NVD (NIST)
• CVE-2026-33328, NVD (NIST)