セキュリティアドバイザリー: BMP, ICO, GIF 画像処理の脆弱性

BMP, ICO, GIF の画像処理に関するセキュリティアドバイザリーが公開されています。Qt 5.4.1 を含むすべての Qt に影響します。

• [Announce] Qt Project Security Advisory – Multiple Vulnerabilities in Qt Image Format Handling

不正な BMP, ICO あるいは GIF ファイルを読み込んだ際に、DoS 脆弱性またはバッファオーバーフローが発生します。後者の場合は任意のコードが実行される可能性があります。アプリケーション側で可能な対応はなく、リリースを待って Qt 5.5 を使用するか、以下のパッチを当てた Qt を使用する必要があります。Qt 4.8.7 と 5.4.2 はこれらのパッチを適用してリリースされます。

• Qt 5 系のパッチ:
  • https://codereview.qt-project.org/108312
  • https://codereview.qt-project.org/108248
• Qt 4 系のパッチ:
  • https://codereview.qt-project.org/108474
  • https://codereview.qt-project.org/108475

CVE-2015-1858 BMP vulnerability
CVE-2015-1859 ICO vulnerability
CVE-2015-1860 GIF vulnerability