HEIF Heist：一个 C 图像解析器漏洞撬动 OpenAI、Meta、GitHub 等全线 RCE
ccerrato147 · x · 2026-09-19
Hacktron 团队披露代号「HEIF Heist」的一类攻击路径：大量服务通过 libheif、libde265 等 C/C++ 原生解码器处理攻击者可控的 HEIF/HEIC/AVIF 图片，这些解析器通常经由 ImageMagick、libvips、Sharp 及预构建容器镜像被间接引入，且几乎无人审计。
研究成果包括：
- 转储 OpenAI 私有仓库
- Slack RCE 可泄露文件
- 通过图片上传实现 Meta 核心产品套件 RCE
- 泄露 Redacted 用户 token 及 AWS 访问凭证
- Discourse 认证后 RCE、Next.js 经 AVIF 优化的未认证 RCE
- GitHub Enterprise 认证后 RCE（CVE-2026-19118）
攻击者可用构造的 .avif/.heic 文件探测远端 libheif 版本，再发射版本匹配的 n-day/0-day 载荷触发内存破坏、数据泄露或远程代码执行。作者警告：半个科技行业都建立在这个无人审查的解析器之上，一张上传的图片就足以击穿。
所属事件:HEIF Heist 图像库漏洞横扫 OpenAI、Meta 等巨头(8 条相关)→
「Infra」频道最新
- 生产数据实测：Qdrant 比 Meilisearch 快 2 倍省 9 倍内存 — qdrant_engine · 2026-11-04
- Antseed 挖来ravikantagrawal主管商务，押注点对点推理开放市场 — ravikantagrawal · 2026-11-04
- 德州将超越弗州成数据中心第一州，大量项目仍在早期阶段 — asusarla · 2026-11-04
- 周处理百万条消息,AI agent 生产环境降本 37% 的 13 条实操 — AccBalanced · 2026-11-04
- 一行改动让 RTX 20 系跑 Qwen-Image 2.1 速度翻倍 — xrailgun · 2026-11-04
- 4×RTX 3090 本地跑 DeepSeek V4.1 Flash:524k 上下文 30-40 tok/s — chota23 · 2026-11-04