したがって、ALAS2023-2025-1120 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    2.42.10 までの GNOME GdkPixbuf (別名 gdk-pixbuf) において、細工された .ani ファイル内のチャンクを解析する際に、ANI (Windows アニメーションカーソル) デコーダーでヒープメモリの破損 (io-ani.c の ani_load_chunk 内) が発生する可能性があります。細工されたファイルにより、攻撃者がヒープメタデータを上書きし、サービス拒否またはコード実行攻撃を引き起こす可能性があります。これは、gdk-pixbuf.c の gdk_pixbuf_set_option() で発生します。(CVE-2022-48622)

    GdkPixbuf の LZW デコーダーの GIF パーサーに欠陥が見つかりました。展開中に無効なシンボルに遭遇した場合、デコーダーは実際に書き込まれたバイト数ではなく、バッファ全体の長さに対してレポートされた出力サイズを設定します。この論理エラーにより、バッファの初期化されていないセクションが出力に含まれ、処理された画像の任意のメモリコンテンツが漏洩する可能性があります。
    (CVE-2025-6199)

    gdk-pixbuf の gdk_pixbuf__jpeg_image_load_increment 関数 (io-jpeg.c) と glib の g_base64_encode_step (glib/gbase64.c) に欠陥が存在します。悪意のある細工された JPEG 画像を処理する際、Base64 エンコーディング中にヒープバッファオーバーフローが発生する可能性があります。このため、ヒープメモリからの領域外読み取りが可能になり、アプリケーションのクラッシュや任意のコードの実行が引き起こされる可能性があります。(CVE-2025-7345)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023gdk-pixbuf2、gdk-pixbuf2-devel、gdk-pixbuf2-modulesALAS2023-2025-1120

high Nessus プラグイン ID 243461

バージョン 1.2