画像処理ライブラリであるleptonlibに、異なる欠陥が見つかりました。 

CVE-2018-7186

Leptonicaは、fscanfまたはsscanfに対する％s形式の引数の文字数を制限していませんでした。これにより、リモートの攻撃者が、長い文字列を通じて、サービス拒否（スタックベースのバッファオーバーフロー）を引き起こしたり、詳細不明なその他の影響を与えたりする可能性がありました。

CVE-2018-7440

gplotMakeOutput関数により、gplot rootname引数での$(command)アプローチによるコマンド注入が可能になりました。この問題は、CVE-2018-3836の修正が不完全なために存在しています。

Debian 7「Wheezy」では、これらの問題はバージョン1.69-3.1+deb7u2で修正されました。

お使いのleptonlibパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-1302-1: leptonlibセキュリティ更新

critical Nessus プラグイン ID 107152

バージョン 1.8