Amazon Linux 2023:libde265、libde265-devel(ALAS2023-2026-1918)
high Nessus プラグイン ID 327408
Language:
概要
リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。説明
したがって、ALAS2023-2026-1918 のアドバイザリに記載されている複数の脆弱性の影響を受けます。libde265 は、H.265 ビデオコーデックのオープンソース実装です。バージョン 1.0.20 より前では、細工された H.265 ビットストリームが「decoder_context::p rocess_reference_picture_set()」(「libde265/decctx.cc:1376」)で領域外配列書き込みを引き起こす可能性があります。根本的な原因は、予測される短期の参照画像セットのエントリに集計境界チェックがないことです。個別のリストサイズは検証されますが、予測された RPS 構築後の合計カウントは、16エントリの「PocStFoll」配列を超え、インデックス 16 で書き込む可能性があります。バージョン 1.0.20 はこの問題を修正します。(CVE-2026-49295)
libde265 は、H.265 ビデオコーデックのオープンソース実装です。バージョン 1.0.20より前では、細工されたH.265 NALユニットのシーケンスにより、「decoder_context::read_slice_NAL()」(「libde265/decctx.cc:481」)がスライスヘッダーをアクティブな画像ユニットを持たない完成した画像オブジェクトに添付します。その結果、攻撃者が制御する無制限のヒープ増加が発生します。保持されたヘッダーは、画像がリリースされるまで解放されません。これは、連続ストリーミング中に発生しない可能性があります。バージョン 1.0.20 はこの問題を修正します。(CVE-2026-49337)
libde265 は、H.265 ビデオコーデックのオープンソース実装です。バージョン 1.1.0 より前では、大きな SPS 寸法と 16 ビットのビット深度をもつ細工された H.265 ビットストリームにより、「de265_image_get_buffer()」(「libde265/image.cc:128」)で符号付き整数オーバーフローが発生します。オーバーフローにより、プレーン割り当てサイズが小さな値(~1 KB)にラップされますが、後続の「fill_image()」呼び出しは「size_t」を使用して実際のサイズを計算し、サイズの小さいヒープバッファに~4 GB を書き込みます。バージョン 1.1.0 はこの問題を修正します。(CVE-2026-49346)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「dnf update libde265 --releasever 2023.12.20260706」または「dnf update --advisory ALAS2023-2026-1918 --releasever 2023.12.20260706」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-1918.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-49295.html
プラグインの詳細
深刻度: High
ID: 327408
ファイル名: al2023_ALAS2023-2026-1918.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/7/16
更新日: 2026/7/16
サポートされているセンサー: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.5
パーセンタイル: 51.97
CVSS v2
リスクファクター: High
基本値: 8.5
現状値: 6.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:C
CVSS スコアのソース: CVE-2026-49346
CVSS v3
リスクファクター: High
基本値: 7.1
現状値: 6.4
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:libde265-debugsource, p-cpe:/a:amazon:linux:libde265-debuginfo, p-cpe:/a:amazon:linux:libde265-devel, p-cpe:/a:amazon:linux:libde265
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/7/7
脆弱性公開日: 2026/6/19