Il 15 luglio 2026 TrendAI Zero Day Initiative ha pubblicato l'advisory ZDI-26-422 su una vulnerabilità in Samsung rlottie, libreria open-source per il rendering di animazioni Lottie. La falla consente esecuzione remota di codice arbitrario tramite file animati malevoli. Il record CVE-2026-15551 assegna alla vulnerabilità un punteggio di 5.5, classificazione MEDIUM.
- La vulnerabilità CVE-2026-15551 risiede nella funzione
gray_hline()di Samsung rlottie e permette esecuzione remota di codice tramite file Lottie animati malevoli. - Il meccanismo è un numeric truncation che causa integer overflow con conseguente heap-based buffer overflow durante il calcolo delle dimensioni di memoria.
- Samsung ha rilasciato una patch nel commit
bf689b72b8482c5ea674235854bd11b6d1b42588, reso pubblico dopo 19 giorni di coordinazione responsabile con ZDI. - Il CVSS 5.5 proviene dal record CVE, non dall'advisory ZDI che non lo riporta. Il vettore AV:L/AC:H/PR:L/UI:R/S:U/C:L/I:L/A:H riflette vincoli di attacco che dipendono dall'implementazione.
Il meccanismo del numeric truncation in gray_hline()
La falla si annida nella funzione gray_hline(), routine di rendering della libreria rlottie. Secondo il record CVE-2026-15551, un numeric truncation in questa funzione porta a un calcolo errato delle dimensioni di memoria prima della scrittura: l'integer overflow o wraparound genera un heap-based buffer overflow quando la libreria processa una Lottie animation costruita ad arte per essere renderizzata alla dimensione nativa del canvas.
L'advisory ZDI precisa che "the issue results from the lack of proper validation of user-supplied data, which can result in an incorrect calculation before writing to memory". Un attaccante che controlli il contenuto di un file Lottie può innescare questa sequenza per eseguire codice nel contesto del processo che effettua il rendering. L'exploitation richiede interazione con la libreria rlottie; i vettori di attacco "may vary depending on the implementation".
Il formato Lottie serializza animazioni in JSON leggibili da motori di rendering software e hardware. Samsung rlottie è una delle implementazioni native più diffuse, specialmente in ambito mobile ed embedded. La libreria è progettata per essere incorporata come dipendenza in applicazioni di terze parti.
Il CVSS 5.5 e i suoi limiti documentati
Il punteggio CVSS 5.5 con vettore AV:L/AC:H/PR:L/UI:R/S:U/C:L/I:L/A:H proviene dal record CVE-2026-15551, non dall'advisory ZDI che non lo riporta. Questi parametri riflettono vincoli tecnici formali: attacco locale, alta complessità, privilegi bassi richiesti, interazione utente necessaria, scope unchanged.
Analisi: Il CVSS misura la severità della vulnerabilità nel suo contesto di attacco astratto. Quando un'applicazione carica file Lottie da fonti non attendibili, il "local" del vettore AV:L si riferisce al contesto di processo, non implica che l'attaccante debba compromettere preventivamente il sistema. L'interazione utente UI:R è richiesta per l'exploitation secondo il modello CVSS, ma la fonte non specifica in quali implementazioni questa interazione sia visibile o trasparente.
Il punto di vista di DeafNews: La discrepanza tra capacità RCE e classificazione MEDIUM non è un difetto del CVSS in sé, ma una conseguenza della sua architettura: il sistema non modella il percorso di distribuzione del payload né la popolarità del formato target.
"This vulnerability allows remote attackers to execute arbitrary code on affected installations of Samsung rlottie. Interaction with the rlottie library is required to exploit this vulnerability but attack vectors may vary depending on the implementation." — Advisory ZDI-26-422
La coordinazione responsabile e il commit di patch
Il ricercatore Michael DePlante, noto come @izobashi, ha segnalato la vulnerabilità a Samsung il 26 giugno 2026. La ZDI ha gestito la disclosure coordinata con rilascio pubblico il 15 luglio 2026: un intervallo di 19 giorni.
Il record CVE-2026-15551 indica come versione non vulnerabile il commit bf689b72b8482c5ea674235854bd11b6d1b42588. La fonte non specifica se questo commit sia stato backportato su branch di manutenzione precedenti. Il dossier non documenta la distribuzione della patch attraverso canali automatici come gestori di pacchetti, né conferma che Samsung abbia pubblicato advisory proprio separato da quello ZDI.
Cosa fare adesso
I team che gestiscono applicazioni con dipendenza su Samsung rlottie devono verificare la presenza della libreria nella propria dependency tree e confrontare il commit attuale con bf689b72b8482c5ea674235854bd11b6d1b42588. La fonte non specifica canali di distribuzione automatici della patch.
Limiti delle fonti: L'advisory ZDI è pubblicato su dominio http non https e non riporta il punteggio CVSS. Il punteggio 5.5 proviene dal record CVE separato. Nessun exploit pubblico è documentato. La distribuzione della patch non è chiara.
Il limite dei punteggi e la lezione per il threat modeling
La vulnerabilità CVE-2026-15551 illustra un caso in cui la classificazione formale potrebbe non allinearsi con il rischio per specifiche implementazioni. Per le organizzazioni che caricano Lottie da fonti non attendibili, la classificazione MEDIUM potrebbe non riflettere il rischio effettivo.
Analisi: Il punteggio 5.5 di CVE-2026-15551 è matematicamente coerente con il vettore dichiarato, ma la sua applicabilità pratica dipende dall'architettura di ciascun sistema che integra rlottie. La decisione di prioritizzare il patching resta una valutazione di risk management basata sul contesto operativo specifico.
Il caso solleva questioni sul modo in cui i team di sviluppo interpretino i punteggi CVSS per componenti di parsing di formato complesso, senza che il brief fornisca raccomandazioni operative generalizzabili oltre il contesto documentato.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-422/
- https://www.cve.org/CVERecord?id=CVE-2026-15551
- http://www.zerodayinitiative.com/advisories/upcoming/