CVE catalog

CVE-2024-11498

libjxl vulnerabilities

[CVE catalog]

Severity
Medium · CVSS 5.7CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H
Published
Source
[NVD] · [CVE record]
EPSS
0.60% · Oct 25, 2026

There exists a stack buffer overflow in libjxl. A specifically-crafted file can cause the JPEG XL decoder to use large amounts of stack space (up to 256mb is possible, maybe 512mb), potentially exhausting the stack. An attacker can craft a file that will cause excessive memory usage. We recommend upgrading past commit 65fbec56bc578b6b6ee02a527be70787bbd053b0.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianjpeg-xlsid0.11.2-5.1fixed
Debianjpeg-xlforky0.11.2-5.1fixed
Debianjpeg-xltrixie0.11.2-0.1~deb13u2fixed
Debianjpeg-xltrixie-security0.11.2-0.1~deb13u3fixed
Debianjpeg-xlbookworm0.7.0-10+deb12u1fixed
Debianjpeg-xlbookworm-security0.7.0-10+deb12u1fixed
Ubuntujpeg-xlnoble0.7.0-10.2ubuntu6.1fixed
Ubuntujpeg-xl-docnoble0.7.0-10.2ubuntu6.1fixed
Ubuntulibjpegxl-javanoble0.7.0-10.2ubuntu6.1fixed
Ubuntulibjxl-devnoble0.7.0-10.2ubuntu6.1fixed
Ubuntulibjxl-devtoolsnoble0.7.0-10.2ubuntu6.1fixed
Ubuntulibjxl-toolsnoble0.7.0-10.2ubuntu6.1fixed
Ubuntulibjxl0.7noble0.7.0-10.2ubuntu6.1fixed
Ubuntujpeg-xl24.040.7.0-10ubuntu2vulnerable
Ubuntujpeg-xl24.040.7.0-10.2ubuntu1vulnerable
Ubuntujpeg-xl24.040.7.0-10.2ubuntu4vulnerable
Ubuntujpeg-xl24.040.7.0-10.2ubuntu5vulnerable
Ubuntujpeg-xl24.040.7.0-10.2ubuntu6vulnerable
Ubuntujpeg-xl24.040.7.0-10.2ubuntu6.1fixed
Suselibjxllinux enterprise module for package hub 15 sp70.10.3-150700.4.9.1fixed
Suselibjxlpackage hub 15 sp50.8.2-bp155.2.6.1fixed
Opensuselibjxlleap 15.50.8.2-bp155.2.6.1fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianjpeg-xlsourcesid0.10.4-2not yet assignedNot reported[1088818]
Debianjpeg-xlsourceforky0.10.4-2not yet assignedNot reported[1088818]
Debianjpeg-xlsourcetrixie0.10.4-2not yet assignedNot reported[1088818]
Debianjpeg-xlsourcebookworm0.7.0-10+deb12u1not yet assignedNot reported[1088818]
Ubuntujpeg-xldebnoble0.7.0-10.2ubuntu6.1Not reportedNot reportedNot reported
Ubuntujpeg-xl-docdebnoble0.7.0-10.2ubuntu6.1Not reportedNot reportedNot reported
Ubuntulibjpegxl-javadebnoble0.7.0-10.2ubuntu6.1Not reportedNot reportedNot reported
Ubuntulibjxl-devdebnoble0.7.0-10.2ubuntu6.1Not reportedNot reportedNot reported
Ubuntulibjxl-devtoolsdebnoble0.7.0-10.2ubuntu6.1Not reportedNot reportedNot reported
Ubuntulibjxl-toolsdebnoble0.7.0-10.2ubuntu6.1Not reportedNot reportedNot reported
Ubuntulibjxl0.7debnoble0.7.0-10.2ubuntu6.1Not reportedNot reportedNot reported
Ubuntujpeg-xldeb24.040.7.0-10.2ubuntu6.1Not reportedUBUNTU-CVE-2024-11498Not reported
Suselibjxlrpmlinux enterprise module for package hub 15 sp70.10.3-150700.4.9.1Not reportedSUSE-SU-2026:1154-1Not reported
Suselibjxlrpmpackage hub 15 sp50.8.2-bp155.2.6.1Not reportedOPENSUSE-SU-2025:0041-1Not reported
Opensuselibjxlrpmleap 15.50.8.2-bp155.2.6.1Not reportedOPENSUSE-SU-2025:0041-1Not reported

[Debian bug #1088818]

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [jpeg-xl-doc]Fixed

    Source package: [jpeg-xl]

    Details (4)

    • 0.7.0-10+deb12u1 · all · bookworm

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · all · bookworm

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · all · bookworm-security

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · all · bookworm-security

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

  • [libjpegxl-java]Fixed

    Source package: [jpeg-xl]

    Details (4)

    • 0.7.0-10+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · amd64 · bookworm-security

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm-security

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

  • [libjxl0.7]Fixed

    Source package: [jpeg-xl]

    Details (4)

    • 0.7.0-10+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · amd64 · bookworm-security

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm-security

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

  • [libjxl-dev]Fixed

    Source package: [jpeg-xl]

    Details (4)

    • 0.7.0-10+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · amd64 · bookworm-security

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm-security

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

  • [libjxl-devtools]Fixed

    Source package: [jpeg-xl]

    Details (4)

    • 0.7.0-10+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · amd64 · bookworm-security

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm-security

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

  • [libjxl-tools]Fixed

    Source package: [jpeg-xl]

    Details (4)

    • 0.7.0-10+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · amd64 · bookworm-security

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

    • 0.7.0-10+deb12u1 · arm64 · bookworm-security

      Fixed · Fixed: 0.7.0-10+deb12u1

      usn · jpeg-xl · debian · bookworm; usn · jpeg-xl · debian · 12

[Debian 13 (Trixie)]

  • [jpeg-xl-doc]Fixed

    Source package: [jpeg-xl]

    Details (5)

    • 0.11.2-0.1~deb13u2 · all · trixie

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · all · trixie

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · all · trixie-security · Historical version

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · all · trixie-security

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u3 · all · trixie-security

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

  • [libjpegxl-java]Fixed

    Source package: [jpeg-xl]

    Details (5)

    • 0.11.2-0.1~deb13u2 · amd64 · trixie

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

  • [libjxl0.11]Fixed

    Source package: [jpeg-xl]

    Details (5)

    • 0.11.2-0.1~deb13u2 · amd64 · trixie

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

  • [libjxl-dev]Fixed

    Source package: [jpeg-xl]

    Details (5)

    • 0.11.2-0.1~deb13u2 · amd64 · trixie

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

  • [libjxl-devtools]Fixed

    Source package: [jpeg-xl]

    Details (5)

    • 0.11.2-0.1~deb13u2 · amd64 · trixie

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

  • [libjxl-gdk-pixbuf]Fixed

    Source package: [jpeg-xl]

    Details (5)

    • 0.11.2-0.1~deb13u2 · amd64 · trixie

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

  • [libjxl-tools]Fixed

    Source package: [jpeg-xl]

    Details (5)

    • 0.11.2-0.1~deb13u2 · amd64 · trixie

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

    • 0.11.2-0.1~deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 0.10.4-2

      usn · jpeg-xl · debian · 13

Observed:

References

[Debian Security Tracker] · [FIRST EPSS] · [OSV Package Vulnerability Database] · [SUSE security advisories and VEX] · [Ubuntu Security Notices (USN)]