smg llm-multimodal jpeg_turbo::decode_jpeg_rgb alokasi memori tidak terkontrol

Decoder jpeg_turbo dalam komponen llm-multimodal dari smg melakukan alokasi memori yang tidak terkontrol pada input gambar yang dikendalikan penyerang, memungkinkan denial-of-service melalui JPEG yang direkayasa. CVSS 5.3, diterbitkan 2026-10-26.

Pustaka preprocessing multimodal LLM yang mendekode gambar yang tidak tepercaya tanpa batas memori memungkinkan satu gambar menghabiskan host, mematikan proses inference/preprocessing.

Pemanggil jarak jauh menyediakan JPEG yang direkayasa ke decoder multimodal; jpeg_turbo::decode_jpeg_rgb mengalokasikan memori berdasarkan dimensi yang dikendalikan penyerang tanpa batas, menyebabkan alokasi memori tidak terkontrol / DoS.

smg-project smg 1.7.0 / 1.8.0 / 1.9.0 / 1.10.0 / 1.10.1 (crates/multimodal/src/jpeg_turbo.rs, jpeg_turbo::decode_jpeg_rgb).

Tingkatkan ke rilis smg yang telah diperbaiki; tambahkan batas dimensi/ukuran sebelum mendekode gambar yang tidak tepercaya.