libwebpで複数のセキュリティの問題が発見されました

CVE-2018-25009

WebPMuxCreateInternal関数に領域外読み取りが見つかりました。この脆弱性が最大の脅威となるのは、データの機密性とサービスの可用性です。

CVE-2018-25010

ApplyFilter関数に領域外読み取りが見つかりました。この脆弱性が最大の脅威となるのは、データの機密性とサービスの可用性です。

CVE-2018-25011

PutLE16()にヒープベースのバッファオーバーフローが見つかりました。この脆弱性が最大の脅威となるのは、データの機密性と整合性、ならびにシステムの可用性です。

CVE-2018-25012

WebPMuxCreateInternal関数に領域外読み取りが見つかりました。この脆弱性が最大の脅威となるのは、データの機密性とサービスの可用性です。

CVE-2018-25013

ShiftBytes関数に領域外読み取りが見つかりました。この脆弱性が最大の脅威となるのは、データの機密性とサービスの可用性です。

CVE-2018-25014

初期化された変数がReadSymbol関数で使用されています。この脆弱性が最大の脅威となるのは、データの機密性と整合性、ならびにシステムの可用性です。

CVE-2020-36328

バッファサイズの無効なチェックにより、WebPDecodeRGBInto関数でヒープベースのバッファオーバーフローが発生する可能性があります。この脆弱性が最大の脅威となるのは、データの機密性と整合性、ならびにシステムの可用性です。

CVE-2020-36329

スレッドのkillが早すぎることによるメモリ解放後使用（Use-After-Free）が見つかりました。この脆弱性が最大の脅威となるのは、データの機密性と整合性、ならびにシステムの可用性です。

CVE-2020-36330

ChunkVerifyAndAssign関数に領域外読み取りが見つかりました。この脆弱性が最大の脅威となるのは、データの機密性とサービスの可用性です。

CVE-2020-36331

ChunkAssignData関数に領域外読み取りが見つかりました。この脆弱性が最大の脅威となるのは、データの機密性とサービスの可用性です。

Debian 9 'Stretch'では、これらの問題はバージョン0.5.2-1+deb9u1で修正されています。

libwebpパッケージをアップグレードすることをお勧めします。

libwebpの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/libwebp

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

DebianDLA-2677-1：libwebpのセキュリティ更新

critical Nessus プラグイン ID 150301

バージョン 1.3