GIMP 3.2.6 aizver 28 CVE attēlu formātu spraudņos: 871 komits no 58 cilvēkiem

GIMP 3.2.6 iznāca 10. septembrī ar 28 aizlāpītām ievainojamībām. Visas tās sēdēja attēlu formātu spraudņos, ne redaktora kodolā. Numuri stiepjas no CVE-2026-18301 līdz CVE-2026-82343. Klāt nāk vēl viens ziņojums no Zero Day Initiative ar apzīmējumu ZDI-CAN-29400.

Laidienā savākts vairāku mēnešu darbs: 871 komits, 58 līdzautori, 179 aizvērti kļūdu pieteikumi un 21 atjaunināts tulkojums. GIMP izlaiduma piezīmēs drošības labojumu autori ir Džeikobs Berema un Alx Sa.

28 CVE vienā laidienā

GIMP importē desmitiem attēlu formātu. Katram formātam ir savs parsētājs, rakstīts C valodā. Tieši tur atrastas visas 28 kļūdas.

Red Hat apraksts par vienu no tām runā par kaudzes pārpildi HDR failu apstrādē: speciāli sagatavots attēls ļauj izpildīt patvaļīgu kodu. Citas skar PSD un PAA spraudņus. Uzbrukuma ceļš visos gadījumos ir vienāds. Lietotājs atver failu, ko saņēmis pastā vai lejupielādējis no tīmekļa. Pats GIMP kodols nav aiztikts, tāpēc riskā ir tie, kas regulāri atver svešus attēlus.

Apzīmējums ZDI-CAN norāda uz ziņojumu, kas GIMP sasniedza caur Zero Day Initiative programmu. Tur pētnieks kļūdu pārdod ZDI, ZDI to nodod ražotājam un dod termiņu labojumam. Publisku CVE numuru šādi pieteikumi saņem vēlāk, dažkārt tikai pēc ielāpa iznākšanas.

Daļa atradumu nākusi no Securin Disclose pētniekiem, pārējos izķēra automātiski koda analīzes rīki. Tā pati aina bija Dovecot 2.4.5 laidienā ar 22 CVE. Vecs C kods, kas gadiem stāvēja neaiztikts, tagad iet caur rīkiem, kādu rakstīšanas brīdī nebija.

Lietotājam praktiskais solis ir viens: pārbaudīt versiju izvēlnē Help un atjaunināt. Oficiālais AppImage, Flatpak un Snap jau nes 3.2.6. Distributīvu repozitorijos jaunā versija parādās ar nobīdi, tāpēc Debian vai Ubuntu darbstacijā nākas vai nu gaidīt, vai pāriet uz Flatpak.

Pirmie soļi uz GTK4

3.2.6 ir pirmais laidiens, kurā komanda sāk tīrīt kodu nākamajai grafiskās bibliotēkas versijai. Darbs pagaidām ir mehānisks. Izsaukumi gtk_widget_show() nomainīti pret gtk_widget_set_visible(). GdkEvent struktūras laukiem vairs netiek piekļūts tieši, to vietā izmantotas getter funkcijas. GTK3 vidē abas izmaiņas neko nemaina. GTK4 vecās formas vairs nepastāv.

Abas vietas GTK4 ir aizvērtas apzināti. gtk_widget_show() tur vairs nav, jo GTK4 logrīks kļūst redzams caur gtk_widget_set_visible() vai vecāka izkārtojumu. GdkEvent savukārt kļuvis par necaurspīdīgu tipu, kura laukus drīkst lasīt tikai caur funkcijām. Kamēr GIMP vēl būvējas ar GTK3, šīs izmaiņas ir tīri kosmētiskas. Brīdī, kad kods tiks pārslēgts uz GTK4, par tām vairs nebūs jādomā.

Pāreja no GTK3 uz GTK4 būs mazāk dziļa nekā savulaik pāreja no GTK2 uz GTK3.

Tā apgalvo GIMP komanda. Zemā latiņa ir saprotama. GIMP 3.0 ar GTK3 iznāca pagājušā gada martā, bet darbs pie tās pārejas bija sācies vairāk nekā desmit gadus iepriekš. GTK4 tobrīd jau gandrīz sešus gadus bija publiski pieejams.

Pilnu GTK4 laidienu, kas varētu saukties GIMP 4.0, izstrādātāji nesola nevienā konkrētā datumā.

macOS pakotne un SDK spraudņu autoriem

macOS būvējums pārtaisīts no pamatiem. Pirmo reizi vairāku gadu laikā GIMP tur iznāk kā vietēja pakotne. Strādā tumšais režīms, Cmd taustiņš īsceļos, pareiza metadatu kešošana un HTTPS failu atvēršana bez ārējiem rīkiem.

Otrs jaunums izstrādātājiem ir GIMP SDK. Tās ir galvenes un bibliotēkas, ar kurām var būvēt C spraudņus, izmantojot gimptool. Kopā tas aizņem ap 20 MB. Līdz šim SDK ceļoja tikai Flatpak un Snap pakotnēs. Tagad tas ir arī AppImage, Windows un macOS būvējumos, tātad spraudņa autoram vairs nav jātur konteiners tikai kompilēšanas dēļ.

Pirms tam spraudņa autoram vajadzēja vai nu Flatpak un Snap vidi, vai pašam sabūvēt GIMP no pirmkoda, lai tiktu pie galvenēm. Uz Windows tas nozīmēja atsevišķu MSYS2 vidi.

Kas vēl salabots

KDE Plasma lietotājiem aizvērtas trīs vizuālas kļūdas:

• dialogu rāmjus tagad zīmē logu pārvaldnieks, ne pati programma;
• Breeze tēmas elementi vairs neizspiežas cauri GIMP saskarnei;
• resursu redaktori vairs nepazūd aiz vecākdialoga, jo salabota logu kārtība pa slāņiem.

Pārējais saraksts ir īss. Izgriešana sāk strādāt ar slāņu grupām, ja slāņi ir rastrēti un nav noslēgti. Krāsu nolasītāja režīms Sample Merged tagad ņem vērā arī filtrētus slāņus. Teksta rīks salabots fiksēta izkārtojuma un maskētu slāņu gadījumiem.

Fontu ielāde kļuvusi ātrāka. To visvairāk pamanīs tie, kam sistēmā sakrājies daudz fontu failu: līdz šim GIMP startā un pie teksta rīka atvēršanas uz brīdi iestrēga. Zīmēšanas dinamikām pievienota jauna ieeja Rotation, kas nolasa spalvas griešanos ap savu asi. To dod Wacom Art Pen 2.

Salabots arī s390x būvējums, kas iepriekš iesala. Lejupielādes ir AppImage formātā x86_64 un ARM64 procesoriem, kā arī Flatpak un Snap veikalos.

Avoti

• GIMP 3.2.6 Released (gimp.org)
• GIMP 3.2.6 Released With Some Early Preparations Toward Eventual GTK4 Port (Phoronix)
• GIMP 3.2.6 drops with 28 CVEs, KDE polish, and SDK for AppImage (linuxcompatible.org)
• CVE-2026-18301 (OpenCVE)

Titulbilde: Zulfugar Karimov / Unsplash