关键信息概览 漏洞类型: ICC Profile Injection CVSS评分: 3.1 (AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H) CWE编号: - CWE-704 - CWE-681 影响: - 攻击者可通过控制输入对ICC文件进行篡改、触发解析错误或内存损坏、误导基于文件元数据的逻辑判断，导致服务拒绝(DoS)甚至达到任意代码执行的效果。 宿主机信息: - Linux 6.6.87.2-microsoft-standard-WSL2 #1 SMP PREEMPT_DYNAMIC Thu Jun 5 18:30:46 UTC 2025 x86_64 x86_64 x86_64 GNU/Linux 测试源码: - 指向了仓库中的某一提交版本 60d189b 构建步骤: - 从GitHub仓库clone代码 - 安装依赖包 - 用CMake配置与编译项目 攻击步骤(PoC): - 下载测试用的XML文件 - 用 命令创建ICC文件 预期输出: - 显示了运行时错误与详情，证明了漏洞的可复现性 - 提示存在非数值(NaN)错误导致代码逻辑失效等问题 解决问题的关键: - 代码需要区分处理float/double和int类型，兼容保留浮点数NaN的功能 状态: - 已关闭、修复完成 标签: - bug，已分类（Triaged） 相关问题: - 关联了另外两个子问题的修复情况，表明这是一个系统性问题的一部分。