# Libvips : multiples failles de sécurité dans le traitement d’images

_Publié le 3 novembre 2026 — https://ip73.fr/2026/11/03/libvips-multiples-failles-de-securite-dans-le-traitement-d-images/_

Des failles multiples ont été publiées par Ubuntu Security dans la bibliothèque d'imagerie libvips. Cette mise en garde concerne plusieurs versions d'Ubuntu et expose les systèmes utilisant cette librairie à des risques allant du simple déni de service à l'exécution de code arbitraire.

Plusieurs problèmes ont été identifiés. Par exemple, une mauvaise gestion des fichiers PDF, lorsque la page définit une largeur mais pas de hauteur, peut faire planter libvips, causant un déni de service. Ce défaut est catalogué sous la CVE-2025-59933 et affecte les éditions 16.04 LTS, 18.04 LTS, 20.04 LTS, 22.04 LTS et 24.04 LTS.

Le risque s'aggrave avec d'autres failles. Une erreur de débordement d'entier (*integer overflow*) lors de l'opération `vipsload` peut permettre à un attaquant de provoquer un crash ou, pire, d'exécuter du code arbitraire. Cette faille est référencée CVE-2026-33327 et concerne les versions précédant ou incluant 8.18.0.

L'éventail des problèmes est large. On note aussi une gestion incorrecte des dimensions dans `gifload` sur systèmes 32 bits (CVE-2026-33328), une validation insuffisante des balises EXIF (CVE-2026-35590), et des calculs erronés dans les images TIFF, qui peuvent aussi mener à l'exécution de code. Certains cas, comme le traitement de fichiers Radiance ou l'analyse de PPM non compressés, laissent potentiellement des informations sensibles accessibles.

## Ce qui est touché et la gravité réelle

La gravité varie selon la faille. L'existence de vulnérabilités permettant une exécution de code arbitraire justifie une réaction rapide des administrateurs systèmes. Les attaques peuvent se déclencher à distance si un attaquant parvient à faire traiter un fichier malveillant par une application utilisant libvips.

La CVE-2025-59933 présente principalement un risque de déni de service, bien que l'obtention d'informations sensibles soit également mentionnée. D'autres vulnérabilités, telles que celle affectant les fichiers TIFF (CVE-2026-35591), permettent l'exécution de code. Selon GitHub, lorsque des utilisateurs compilent libvips avec le support PDF via Poppler, un débordement de tampon lors du traitement d'un PDF mal formé peut stopper le processus sans que l'attaquant n'accède à la mémoire saturée. Ce n'est pas toujours une voie d'attaque directe, mais cela constitue un vecteur qu'il convient de surveiller.

## Que faire maintenant

La solution la plus directe, bien sûr, est la mise à jour. Ubuntu Security fournit un tableau précis des versions de paquet à installer selon la version de votre distribution. Par exemple, pour Ubuntu 24.04 LTS (Noble), il faut cibler `libvips42t64` en version 8.15.1-1.1ubuntu0.1~esm2. Pour les systèmes plus anciens, les versions spécifiées doivent être appliquées rigoureusement.

Si une mise à jour immédiate n'est pas possible, des contournements existent. Pour les utilisateurs concernés par la gestion PDF via Poppler, on peut bloquer l'opération `VipsForeignLoadPdf` via `vips_operation_block_set` ou définir la variable d'environnement `VIPS_BLOCK_UNTRUSTED` au démarrage du processus. Il ne faut pas se contenter d'une simple alerte ; il faut actionner ces correctifs ou ces blocages immédiatement pour réduire l'exposition.

## Fiche technique

| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2025-59933 | — | Moyenne (CVSS 5,1) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-33327 | — | Élevée (CVSS 7,0) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-33328 | — | Moyenne (CVSS 6,8) | Non signalée | Voir l’avis de l’éditeur |

*Données : [NVD](https://nvd.nist.gov/) (NIST).*

## Sources

- [USN-8994-1: libvips vulnerabilities](https://ubuntu.com/security/notices/USN-8994-1), Ubuntu Security, 3 novembre 2026
- [Avis de sécurité (github.com)](https://github.com/libvips/libvips/security/advisories/GHSA-q8px-4w5q-c2r4), github.com, 29 septembre 2025
- [CVE-2025-59933](https://nvd.nist.gov/vuln/detail/CVE-2025-59933), NVD (NIST)
- [CVE-2026-33327](https://nvd.nist.gov/vuln/detail/CVE-2026-33327), NVD (NIST)
- [CVE-2026-33328](https://nvd.nist.gov/vuln/detail/CVE-2026-33328), NVD (NIST)