したがって、ALAS2023-2023-067 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - libtiff 4.4.0rc1 で見つかった tiffcrop.c:8839 の rotateImage() に二重解放または破損があります(CVE-2022-2519)

  - libtiff 4.4.0rc1 に欠陥が見つかりました。tiffcrop.c:8621 の rotateImage() に sysmalloc アサーションの失敗があります。これにより、細工された入力を読み取る際にプログラムがクラッシュする可能性があります。(CVE-2022-2520)

  - libtiff 4.4.0rc1 で、tiffcrop.c:2522 に呼び出された tif_close.c:131 の TIFFClose() に無効なポインター解放操作があることがわかりました。これにより、細工された入力の処理中にプログラムのクラッシュやサービス拒否が引き起こされる可能性があります。(CVE-2022-2521)

  - libtiff の tiffcrop ユーティリティに不適切な入力検証の欠陥があるため、攻撃者が細工されたファイルを tiffcrop に提供できる場合に領域外読み取りを引き起こし、最終的にクラッシュを引き起こす可能性があります。(CVE-2022-2868)

  - LibTIFF 4.4.0には、tools/tiffcrop.c: 6905 の extractImageSection に領域外読み取りがあります。これにより、攻撃者が細工された tiff ファイルを介してサービス拒否を引き起こす可能性があります。ソースから libtiff をコンパイルするユーザーの場合、修正はコミット 48d6ece8 で利用可能です。(CVE-2022-2953)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Amazon Linux 2023 : libtiff、libtiff-devel、libtiff-static (ALAS2023-2023-067)

medium Nessus プラグイン ID 173112

バージョン 1.0