Horde <https://www.horde.org/>グループウェアツールの画像処理ライブラリであるphp-horde-imageに、リモートコード実行の2つの脆弱性があることが発見されました。

  - CVE-2017-9774: 悪意のある細工されたHTTP GETリクエストをさまざまな画像バックエンドに送信することで、ログインしているユーザーによって悪用される可能性があるリモートコード実行（RCE）の脆弱性。上流で適用された修正には、「forcespectity ring」オプションを無視するというリグレッションがあることに注意してください。 <https://github.com/horde/Image/pull/1>を参照してください。

  - CVE-2017-14650: 悪意を持って細工されたGETリクエストを特に「im」画像バックエンドに送信することで、ログインしているユーザーによって悪用される可能性があるもう1つのRCE。

Debian 8「Jessie」では、これらの問題はphp-horde-imageのバージョン2.1.0-4で修正されました。

php-horde-imageパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-1395-1: php-horde-imageのセキュリティ更新

high Nessus プラグイン ID 110664

変更ログが見つかりません