HEIF Heist、画像アップロードからRCEに至る攻撃経路を開示

要約

Hacktron は、攻撃者が細工した HEIF・HEIC・AVIF を処理させ、メモリ破壊や情報窃取、RCEにつなげる攻撃群「HEIF Heist」を開示した。影響範囲は libheif・libde265 を基盤に、ImageMagick、libvips、Sharp、各種コンテナイメージへ広がり、OpenAIの非公開リポジトリ、Slack、Meta製品群、Discourse、Next.js、GitHub Enterpriseなどが対象になり得る。GitHub EnterpriseではCVE-2026-19118として認識され、Next.jsでは認証不要RCEの経路が確認された。攻撃者は画像アップロードで利用ライブラリの系統を特定し、対応するペイロードを投入する。既知の攻撃経路への対策として、libheif v1.23.2以降と最新のlibde265へ更新し、不要なHEIF/AVIF処理を無効化するか、画像処理を隔離サンドボックスで実行する必要がある。