Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - LIBPNG は、PNG (Portable Network Graphics) ラスターイメージファイルを読み込み、作成、操作するアプリケーションで使用するための参照ライブラリです。バージョン 1.6.36 から 1.6.55には、libpng の ARM/AArch64 Neon 最適化パレット拡張パスに、領域外の読み取りおよび書き込みが存在します。8 ビットのパレット化された行を RGB または RGBA に拡張するとき、Neon ループは十分な入力ピクセルが残っていることを検証せずに、最後の部分チャンクを処理します。実装は行の終わりから後方に作業するため、最後の繰り返しでは、行バッファの開始前にポインターがデリファレンスされ (OOB 読み取り)、拡張されたピクセルデータが同じアンダーフローの位置 (OOB 書き込み) に書き込まれます。これは、Neon が有効の場合、攻撃者が制御する PNG 入力を通常のようにデコードすることで到達できます。バージョン 1.6.56 ではこの問題が修正されています。(CVE-2026-33636)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-33636

high Nessus プラグイン ID 303835

バージョン 1.6