HEIF Heist 图像解析漏洞链：Meta 为 FB/Instagram RCE 悬赏 10 万美元
evilsocket · x · 2026-09-25
Hacktron 团队公开「HEIF Heist」系列攻击面研究：针对解码攻击者可控 HEIF/HEIC/AVIF 图像的服务，通过底层 libheif、libde265 等 C/C++ 原生解析器触发内存破坏、数据泄露或 RCE。
- 研究者因 Meta FB/Instagram 图片上传 RCE 获 10 万美元赏金
- 影响范围还包括：泄露 OpenAI 私有仓库、Slack RCE 可外泄文件、泄露 Redacted 用户与 AWS token、Discourse 认证后 RCE、Next.js AVIF 优化路径未认证 RCE、GitHub Enterprise 认证后 RCE（CVE-2026-19118）等
- 攻击面藏在应用层之下：漏洞库常经 ImageMagick、libvips、Sharp、发行版包与容器基础镜像间接进入生产环境
- 攻击路径：用构造的 .avif/.heic 探测上传端点指纹识别 libheif 版本族，再发射版本匹配的 n-day/0-day 载荷
- 研究源于对前沿 AI 实验室的安全研究，从 Discourse 的 libheif RCE 出发扩展到整个图像处理栈
所属事件:HEIF Heist：AI挖出无CVE图像解析漏洞链获10万美元赏金(2 条相关)→
「Infra」频道最新
- Starlink 美国城市用户增速 73% 反超农村，上传速度提升 42% — XFreeze · 2026-11-11
- Cloudflare 采用未经实战的共识算法 QuePaxa,替代 Raft/Paxos 建 Meerkat — sull · 2026-11-11
- 用 AI 扫遍全美废弃商场，改造成数据中心的脑洞 — LinusEkenstam · 2026-11-11
- Anthropic S-1 曝 260 亿美元私募：七大供应商按 IPO 价入股 — demian_ai · 2026-11-11
- SpaceXSI 1.2GW 燃气电厂获密西西比州环保许可,为 Colossus II 供能 — XFreeze · 2026-11-11
- Anthropic 称用 AI 3 天完成 AMD GPU 移植,动摇 Nvidia CUDA 护城河 — The Decoder · 2026-11-11