Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - PDFio は、PDF ファイルの読み取りおよび書き込みのためのシンプルな C ライブラリです。TTF パーサーにサービス拒否DOSの脆弱性があります。悪意のある細工された TTF ファイルにより、プログラムがメモリを 100% 使用し、無限ループに陥る可能性があります。これは、ヒープバッファオーバーフローの脆弱性にもつながる可能性があります。nGroups値によるread_camp関数で無限ループが発生します。ttf.h ライブラリは脆弱です。nGroups と呼ばれる値がファイルから抽出され、この値を変更することで、プログラムがメモリを 100% 使用し、無限ループに陥ることができます。ファイルの nGroups の値が小さい場合、無限ループは発生しません。このライブラリは、スタンドアロンバイナリとして使用されるか、他のアプリケーションの一部として使用されるかに関わらず、特定のタイプのファイルを解析する際に DOS 攻撃に脆弱です。攻撃者が悪意のある TTF ファイルをアップロードした場合、このコードを使用して PDF 送信を平文に変換する Web サーバーなどの自動システムは、サービス拒否を受ける可能性があります。この問題は、リリースバージョン 1.3.1 で対処されています。全ユーザーにアップグレードすることを推奨します。この脆弱性に対する既知の回避策はありません。(CVE-2024-42358)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2024-42358

medium Nessus プラグイン ID 257243

バージョン 1.4