リモートの Ubuntu 16.04LTS ホストには、USN-5389-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - libcroco 0.6.11および 0.6.12の cr-input.c の cr_input_new_from_uri 関数により、リモート攻撃者が、細工した CSS ファイルを介して、サービス拒否 (ヒープベースのバッファオーバーリード) を引き起こすことができます。(CVE-2017-7960)

  - libcroco 0.6.12の cr-tknzr.c の cr_tknzr_parse_comment 関数により、リモート攻撃者が、細工された CSS ファイルを介して、サービス拒否 (メモリ割り当てエラー) を引き起こす可能性があります。(CVE-2017-8834)

  - libcroco 0.6.12の cr-parser.c の cr_parser_parse_selector_core 関数により、リモート攻撃者が、細工された CSS ファイルを介して、サービス拒否 (無限ループと CPU 消費) を引き起こす可能性があります。(CVE-2017-8871)

  - 0.6.13 までの libcroco は、cr-parser.c 内の cr_parser_parse_any_core で過剰な再帰を行い、スタックの消費を引き起こします。(CVE-2020-12825)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Ubuntu 16.04 ESM: Libcroco の脆弱性 (USN-5389-1)

high Nessus プラグイン ID 160213

バージョン 1.4