Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - stb_vorbis は、ogg vorbis ファイルを処理するための単一ファイルの MIT ライセンスライブラリです。細工されたファイルにより、「f->vendor[len] = (char)'\0';」で領域外の書き込みが発生する可能性があります。根本的な原因は、「start_decoder」での読み取り len が「-1」で、「len + 1」が「setup_malloc」に渡されたときに 0 になることです。「f->alloc.alloc_buffer」が事前に割り当てられている場合、「setup_malloc」の動作が異なります。「malloc」の場合のように「NULL」を返す代わりに、事前に割り当てられたバッファをゼロシフトし、現在利用可能なメモリブロックを返します。この問題により、コード実行が引き起こされる可能性があります。(CVE-2023-45675)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2023-45675

high Nessus プラグイン ID 232159

バージョン 1.5