Un análisis exhaustivo de CVE-2025-50165, una vulnerabilidad crítica de Windows que afecta al Componente de Imágenes de Windows (WIC). Esto podría permitir potencialmente la ejecución remota de código a través de archivos JPEG especialmente diseñados. Sin embargo, sus hallazgos sugieren que el riesgo de explotación en el mundo real es significativamente menor de lo que se temía inicialmente.

 El fallo se debe a la desreferencia de un puntero de función no inicializado durante el proceso de compresión y re-codificación de JPEG, no durante la decodificación o renderizado de imágenes.

El análisis de la causa raíz de ESET reveló que la vulnerabilidad afecta específicamente a imágenes JPEG con una profundidad de color de 12 o 16 bits.

La vulnerabilidad reside en WindowsCodecs.dll, la biblioteca de interfaz principal de Windows que maneja formatos de imagen estándar, incluyendo JPEG, PNG, GIF y BMP.

Los punteros de función vulnerables, compress_data_12 y compress_data_16, permanecen sin inicializar durante la rutina de compresión. Esto provoca un bloqueo cuando se procesan estos JPEG de precisión no estándar.

Escenarios de Explotación Limitados

Contrario a las evaluaciones iniciales que sugerían un potencial de explotación masiva, la investigación de ESET indica que la explotación requiere varias condiciones precisas.

En primer lugar, la aplicación de destino debe usar una versión vulnerable de WindowsCodecs.dll y permitir la re-codificación de JPEG, no solo la visualización. Simplemente abrir un archivo JPEG malicioso no es suficiente para activar la vulnerabilidad.

El código vulnerable solo se activa cuando una aplicación re-codifica un JPEG de 12 o 16 bits, lo que puede ocurrir durante la creación de miniaturas o las operaciones manuales de guardado de imágenes.

Incluso entonces, la explotación exitosa requiere que los atacantes posean información de fuga de direcciones. Las importantes capacidades de manipulación de la pila son prerrequisitos que reducen drásticamente la viabilidad de ataques en el mundo real.

Microsoft lanzó parches que abordan los punteros de función no inicializados, alineándose con las correcciones implementadas previamente en libjpeg-turbo versión 3.1.1.

Las versiones parcheadas inicializan correctamente estos punteros e implementan comprobaciones NULL antes de desreferenciarlos. Los usuarios que ejecuten versiones de WindowsCodecs.dll del 10.0.26100.0 al 10.0.26100.4945 siguen siendo vulnerables.

Si bien CVE-2025-50165 tiene una clasificación de severidad crítica, los hallazgos de ESET validan la evaluación de Microsoft de que la explotabilidad real sigue siendo poco probable debido a las condiciones específicas requeridas.

Según Welivesecurity, las organizaciones deben priorizar el parcheo de sistemas vulnerables, especialmente aquellos que manejan archivos de imagen no confiables.

La investigación destaca la necesidad de mantener actualizadas las bibliotecas de terceros y de implementar una validación efectiva de la entrada para las operaciones de procesamiento de imágenes. La vulnerabilidad del Componente de Imágenes de Windows puede resultar en ataques de ejecución remota de código (RCE) bajo escenarios de ataque complejos.