Debian DLA-3039-1: pypdf2 - LTS セキュリティ更新

medium Nessus プラグイン ID 161806

概要

リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。

説明

リモートのDebian 9ホストには、dla-3039 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

- PyPDF2 は PDF ファイルのページを分割、マージ、トリミング、変換できるオープンソースの python PDF ライブラリです。1.27.5より前のバージョンでは、この脆弱性を使用する攻撃者が PDF を細工し、コードがコンテンツストリームを取得しようとすると、PyPDF2 の場合、無限ループを引き起こす可能性があります。その理由は、「ContentStream._readInlineImage」の最後の while ループが「EI」トークンを見つけたときのみ終了するものの、ストリームがすでに終了しているかどうかは実際にはチェックしないためです。この問題はバージョン 「1.27.5」で解決済みです。アップグレードできないユーザーは、コンテンツストリームを反復処理する前に PDF を検証する必要があります。
(CVE-2022-24859)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

pypdf2 パッケージをアップグレードしてください。

Debian 9 Stretch では、この問題はバージョン 1.26.0-2+deb9u1 で修正されています。

参考資料

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1009879

https://security-tracker.debian.org/tracker/source-package/pypdf2

https://www.debian.org/lts/security/2022/dla-3039

https://security-tracker.debian.org/tracker/CVE-2022-24859

https://packages.debian.org/source/stretch/pypdf2

プラグインの詳細

深刻度: Medium

ID: 161806

ファイル名: debian_DLA-3039.nasl

バージョン: 1.3

タイプ: local

エージェント: unix

公開日: 2022/6/3

更新日: 2023/10/26

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 4.4

CVSS v2

リスクファクター: Medium

Base Score: 4.3

Temporal Score: 3.4

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:N/I:N/A:P

CVSS スコアのソース: CVE-2022-24859

CVSS v3

リスクファクター: Medium

Base Score: 5.5

Temporal Score: 5

ベクトル: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:debian:debian_linux:python-pypdf2, p-cpe:/a:debian:debian_linux:python3-pypdf2, cpe:/o:debian:debian_linux:9.0

必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2022/6/3

脆弱性公開日: 2022/4/18

参照情報

CVE: CVE-2022-24859