Reproducerea, divulgarea și remedierea vulnerabilității libheif cu Hacktron și mentenanții

În august 2026, o potențială vulnerabilitate de execuție de cod de la distanță (RCE) a fost identificată în funcționalitatea de optimizare a imaginilor din Next.js. Investigațiile au relevat că vulnerabilitatea nu se afla în Next.js în sine, ci în biblioteca upstream libheif, un decodor de imagini AVIF utilizat de mai multe componente cheie precum sharp și libvips, care sunt parte integrantă a fluxului de procesare a imaginilor din Next.js. Această descoperire a subliniat o problemă critică de dependență, unde o defecțiune într-o bibliotecă fundamentală putea afecta numeroase aplicații care se bazau pe ea.

Lanțul tehnic a implicat componenta <Image> din Next.js care invoca optimizarea imaginilor, care apoi transmitea imaginile AVIF către sharp, apoi către libvips și, în final, către libheif pentru decodare. O imagine AVIF special concepută putea exploata acest lanț pentru a declanșa RCE. Vercel, după colaborarea cu Hacktron pentru a reproduce exploit-ul, a implementat o mitigare imediată la nivel de platformă prin dezactivarea optimizării AVIF pe serviciul lor. Concomitent, au inițiat un proces coordonat de divulgare cu mentenanții sharp, libvips și libheif.

Implicațiile acestei vulnerabilități subliniază riscurile omniprezente din lanțurile complexe de aprovizionare software. Incidentul a dus la lansarea libheif v1.23.2, care a remediat RCE, și la actualizări ulterioare în Next.js pentru a dezactiva optimizarea AVIF ca măsură temporară. Acest eveniment semnalează o tendință crescândă a vulnerabilităților upstream care ies la suprafață, potențial accelerate de cercetarea bazată pe AI, subliniind necesitatea unor măsuri proactive de securitate și a unei colaborări robuste în open source.