Debian DLA-2553-2 : xcftools回帰の更新

high Nessus プラグイン ID 146360

Language:

概要

リモートのDebianホストにセキュリティ更新プログラムがありません。

説明

CVE-2019-5086およびCVE-2019-5087に対処するパッチは移植可能ではなく、32ビットプロセッサアーキテクチャでは動作しませんでした。この更新プログラムにより問題が修正されます。参照内容については、オリジナルのアドバイザリテキストが準拠しています。

Cisco Talosのclaudio Bozzato氏は、xcftoolsのxcf2pngおよびxcf2pnmバイナリのflattenIncrementally関数に悪用可能な整数オーバーフローの脆弱性を発見しました。タイルのウォークスルー中に整数オーバーフローが発生する可能性があり、これが悪用されて、メモリが破損し、任意のコードが実行される可能性があります。この脆弱性を誘発するには、被害者は特別に細工されたXCFファイルを開く必要があります。

Debian 9 'Stretch'では、この問題はバージョン1.0.7-6+deb9u2で修正されています。

お使いのxcftoolsパッケージをアップグレードすることを推奨します。

xcftoolsの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/xcftools

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。