Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - libsixel は、kmia のixel から派生した SIXEL エンコーダー/デコーダーの実装です。バージョン 1.8.7 以前には、fromgif.c の load_gif() 関数を通じた use-after-free の脆弱性が含まれています。このため、単一のixel_frame_t オブジェクトがアニメーション GIF および gif_init_frame() の全フレーム間で再利用され、フレーム->pixel が無条件に解放され、再割り当てされます。オブジェクトの参照カウントを参照せずにフレーム間で実行する可能性があります。
    公開 API は、フレームを保持するために 6el_frame_ref() を明示的に提供しており、raw ピクセルバッファにアクセスするためのixel_frame_get_pixels() を明示的に提供しているため、この文書化された使用パターンに従うコールバックでは、2 番目のフレームのデコード後にダングリングポインターが保留され、ヒープ use-after が発生します。 -free が ASAN によって確認されました。ユーザー指定のアニメーション GIF を処理するためにマルチフレームコールバックを伴うixel_helper_load_image_file() を使用するアプリケーションは全て影響を受け、最小限の影響で確実なクラッシュを引き起こし、コードが実行される可能性があります。この問題は、バージョン 1.8.7-r1 で修正されています。CVE-2026-33018

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-33018

high Nessus プラグイン ID 306633

バージョン 1.2