<html aria-label="message body"><head><meta http-equiv="content-type" content="text/html; charset=us-ascii"></head><body style="overflow-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;"><div style="overflow-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;"><div dir="auto" style="overflow-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;"><div class="Apple-Mail-URLShareUserContentTopClass">Package: jxrlib</div><div class="Apple-Mail-URLShareWrapperClass" style="position: relative !important;"><blockquote type="cite" style="border-left-style: none; color: inherit; padding: inherit; margin: inherit;">Version: 1.2~git20170615.f752187-5.3<br>Severity: important<br>Tags: security upstream<br>X-Debbugs-Cc: team@security.debian.org<br><br>Hello,<br><br>jxrlib in Debian (1.2~git20170615.f752187-5.3 in sid, forky and trixie; -5 in bookworm; 1.1-6 in<br>bullseye) has memory bugs that a damaged JPEG XR file of a few hundred bytes triggers, including a<br>heap buffer overflow write. All of them are fixed in the maintained fork<br>https://github.com/mircomir/jxrlib (1.4.4, 2026-10-09), which Arch, openSUSE Tumbleweed and<br>MacPorts already ship.<br><br>Details, the affected functions and the fixing commits:<br>https://www.openwall.com/lists/oss-security/2026/10/24/1<br><br>In short (line numbers from 1.2~git20170615.f752187-5.3):<br><br>1. ReadBinaryData, jxrgluelib/JXRMeta.c:677: uCount + 2 overflows, heap buffer overflow<br><span class="Apple-converted-space">  </span> (write). Shown by source review. Fixed in cb97e6d.<br>2. ReadWMIHeader, image/decode/strdec.c:2965: stack buffer over-read. Fixed in d6e5f8d.<br>3. DecodeSignificantRun, image/decode/segdec.c:362: global buffer over-read. Fixed in debe47a.<br>4. initLookupTables, image/decode/strdec.c:2617: global buffer over-read. Fixed in ba86c04.<br>5. ImageStrDecDecode, image/decode/strdec.c:3536: NULL write, crash. Fixed in 190078d.<br>6. ParsePFDEntry, jxrgluelib/JXRGlueJxr.c:1573: assert, builds with asserts only. Fixed in 7d2d462.<br><br>Items 2 to 5 reproduce under AddressSanitizer with JxrDecApp built from Debian's source<br>package. The security team has the test files; I can attach them here too if that helps.<br><br>Suggested fix: move to mircomir/jxrlib 1.4.4, or backport the six commits.<br><br>Best regards<br>Joachim Ruetter<br>https://featherview.mynetx.net<br>

</blockquote></div></div></div></body></html>