openSUSE 15 セキュリティ更新: python-CairoSVG (openSUSE-SU-2023:0260-1)

high Nessus プラグイン ID 181860

Language:

概要

リモートの openSUSE ホストに 1 つ以上のセキュリティアップデートがありません。

説明

リモートの openSUSE 15 ホストには、openSUSE-SU-2023:0260-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- CairoSVG は Python (pypi) パッケージです。- CairoSVG は、Cairo に基づいた SVG コンバーターです。- バージョン 2.5.1 以前の CairoSVG には、正規表現のサービス拒否 (ReDoS) の脆弱性があります。SVG ファイルを処理する際、python パッケージ CairoSVG は、正規表現のサービス拒否（REDoS）に脆弱な 2 つの正規表現を使用します。攻撃者が悪意のある SVG を提供する場合、cairosvg がファイルを処理するのに非常に長い時間滞ることになります。これはバージョン2.5.1で修正されました。詳細については、参照されている GitHub アドバイザリを参照してください。(CVE-2021-21236)

- CairoSVG は、2D グラフィックスライブラリである Cairo に基づいた SVG コンバーターです。バージョン 2.7.0より前は、SVG ファイルを処理する際に、Cairo が外部ホストにリクエストを送信できました。悪意のある攻撃者が、特別に細工された SVG ファイルを送信して、サーバーサイドリクエストフォージェリまたはサービス拒否を実行する可能性があります。バージョン 2.7.0は、オンラインの他のファイルにアクセスする CairoSVG の機能をデフォルトで無効にします。(CVE-2023-27586)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。