リモートホストにインストールされている libtiff のバージョンは、4.0.3-35 より前です。したがって、ALAS2-2023-2263 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    libtiff 4.0.6 以前の DumpModeDecode 関数により、攻撃者が細工された TIFF 画像を介してサービス拒否無効な読み取りおよびクラッシュを引き起こすことができます。CVE-2016-5321

    libtiff の tiffcrop にあるゼロ除算エラー 4.4.0 により、攻撃者は、細工された tiff ファイルを介してサービス拒否を引き起こすことができます。ソースから libtiff をコンパイルするユーザーの場合、修正はコミット f3a5e010 で利用可能です。
    (CVE-2022-2056)

    libtiff にゼロ除算の脆弱性が見つかりました。この欠陥により、攻撃者は細工されたtiffファイルを介してサービス拒否を引き起こす可能性があります。CVE-2022-2058

    LibTIFF から 4.5.0 の tools/tiffcrop.c にある loadImage() に、細工された TIFF 画像を介したヒープベースの use-after-free があります。CVE-2023-26965

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2 : libtiff、--advisory ALAS2-2023-2263 (ALAS-2023-2263)

medium Nessus プラグイン ID 181714

バージョン 1.4