HEIF Heist 漏洞研究：一张图片可打穿 OpenAI、Meta、Slack 等一众服务
moyix · x · 2026-10-22
安全团队 Hacktron 发布「HEIF Heist」研究报告，披露一类针对 HEIF/HEIC/AVIF 图片解析服务的远程攻击路径。漏洞位于应用层之下的 libheif、libde265 等 C/C++ 原生解码器，这些组件经 ImageMagick、libvips、Sharp、发行版软件包或容器基础镜像间接进入生产环境。攻击者可用特制 .avif/.heic 文件指纹识别远端 libheif 版本，再投递匹配的 n-day/0-day 载荷触发内存破坏、数据泄露或 RCE。已证实的影响包括：OpenAI 私有仓库被 dump、Slack RCE 致文件泄露、Meta 核心产品套件经图片上传 RCE、Redacted 用户 token 与 AWS 凭证泄露、Discourse 认证后 RCE、Next.js AVIF 优化未认证 RCE、GitHub Enterprise 认证后 RCE（CVE-2026-19118）等。研究源于团队对前沿 AI 实验室攻击面的安全测试。
「安全」频道最新
- 银行圈警告:AI 进化速度成美国金融机构安全噩梦 — kimmonismus · 2026-10-22
- 你对 AI 说的未发表创意,可能一年后被竞争对手问出来 — _akpiper · 2026-10-22
- AI 网络攻防只是老军备竞赛的延续，别被吓人标题带偏 — ziv_ravid · 2026-10-22
- PHP 漏洞线程结尾：开源模型将是安全防御的核心支柱 — ziv_ravid · 2026-10-22
- Axios 独家：美国大行发现客户账户内潜伏未授权第三方 AI 代理 — daniel_mac8 · 2026-10-22
- Claude 已能发现新 CRISPR 酶,普通用户何时能用上生物科技能力? — Auriga33 · 2026-10-22