Debian DSA-3508-1：jasper -セキュリティ更新

high Nessus プラグイン ID 89698

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

JPEG-2000 ファイルを操作するためのライブラリである JasPer に、複数の脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2016-1577 Jacob Baines 氏は、jas_iccattrval_destroy 関数の二重解放の欠陥を発見しました。リモートの攻撃者がこの欠陥を悪用して、JasPer ライブラリを使用しているアプリケーションをクラッシュさせたり、アプリケーションを実行しているユーザーの権限で任意のコードを実行したりする可能性があります。

- CVE-2016-2089 Qihoo 360 Codesafe Team は、jas_matrix_clip 関数内の NULL ポインターデリファレンスの欠陥を発見しました。リモートの攻撃者がこの欠陥を悪用して、JasPer ライブラリを使用するアプリケーションをクラッシュさせ、サービス拒否を引き起こす可能性があります。

- CVE-2016-2116 Tyler Hicks 氏は、jas_iccprof_createfrombuf 関数のメモリリークの欠陥を発見しました。リモートの攻撃者がこの欠陥を悪用して、JasPer ライブラリにメモリを消費させ、サービス拒否を引き起こす可能性があります。

ソリューション

jasper パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション (wheezy) では、これらの問題は、バージョン 1.900.1-13+deb7u4.で修正済みです。

安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 1.900.1-debian1-2.4+deb8u1 で修正されています。