CVE-2026-39919
CRITICAL(9.8)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS 9.8 — Kritisch
Erwähnungen (letzte 60 Tage)
EPSS-Score
0.8%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
9.8
Technische Schwere
SecBoard-Einordnung
CVE-2026-39919 betrifft Ghostscript vor Version 10.08.0 und ist eine Heap-basierte Pufferüberlaufschwachstelle im JPEG 2000 Output Adapter. Ein Angreifer kann durch eine manipulierte PDF-Datei mit einem JPEG 2000 Bild, das inkompatible Subsampling-Faktoren aufweist, Speicherbeschädigung verursachen. Dies kann zu einer Überschreibung von internen Metadaten führen und potenziell die Ausführung von Code ermöglichen. Die Schwachstelle wird mit einem CVSS-Score von 9.8 als kritisch eingestuft, was auf ein hohes Risiko hinweist. Obwohl die Exploit-Wahrscheinlichkeit laut EPSS derzeit nur 1% beträgt und die Schwachstelle nicht in CISA KEV gelistet ist, sollte die potenzielle Auswirkung einer Codeausführung nicht unterschätzt werden. Security-Teams sollten umgehend prüfen, ob sie betroffene Ghostscript-Versionen einsetzen. Eine Priorisierung des Updates auf Version 10.08.0 oder höher ist dringend empfohlen, um das Risiko einer Ausnutzung dieser kritischen Schwachstelle zu minimieren.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
Ghostscript before 10.08.0 contains a heap-based buffer overflow vulnerability in the JPEG 2000 output adapter (base/sjpx_openjpeg.c) that allows attackers to cause memory corruption by supplying a crafted PDF containing a JPEG 2000 image with mismatched component subsampling factors. When image components declare different subsampling values, the non-samescale sub-byte-depth output path allocates a row buffer sized for packed output but writes a full byte per output column regardless of bit depth, overflowing the allocation and corrupting internal chunk-allocator metadata to achieve code execution.