openSUSE セキュリティ更新：librsvg（openSUSE-2016-608）
high Nessus プラグイン ID 91278
Language:
概要
リモート openSUSE ホストに、セキュリティ更新がありません。説明
バージョン 2.40.15 へのこの librsvg の更新では、次の問題を修正しています：修正されたセキュリティの課題：
- CVE-2016-4348：_rsvg_css_normalize_font_size() 関数の循環定義による SVG 解析の DoS（boo#977986）
修正されたバグ：
- 必要に応じてイメージを実際にスケールさせます。上流 git からの回帰修正（bgo#760262）。
- bgo#759084 を修正しました：フィルターが実際には存在しない際にクラッシュしません。
- 現代的な自動ツールを使用するために autogen.sh を更新しました。
- bgo#761728（PrimitiveComponentTransfer フィルター内のメモリリーク）を修正しました。
- テキストオブジェクト内の「baseline-shift」属性への基本サポートを追加しました（bgo#340047）。
- パスをレンダリングする際の一部の重複ロジックを修正しました（bgo#749415）。
- マーカーエンジンを書き直しました（bgo#685906、bgo#760180）。
- このテストのリファクタリングにより、内製機構を使用する代わりに、Glib の gtest インフラストラクチャが使用されます。
テストは、単に tests/subdirectories に SVG ファイルとして配置されるので、何らかのテキストファイルに明示的に一覧する必要はありません。
- 今ではストリームからの読み取りがある場合に、Gzipp された SVG が機能します。
- オブジェクト/フィルター/URI/などへの参照は今では緩く処理されています。また、汎用サイクル検出器があるために、無効な形式の SVG で無限ループが起こることはありません。
- Adobe のブレンドモードからの解析を削除しました。ともあれそれらは実装されていませんでした。
- Visual Studio でのビルドのためにプロジェクトファイルを追加します（bgo#753555）。
- rsvg-convert(1) に「--export-id」オプションを追加しました。これで、たとえば、マルチパート描画からグループを取り出すために、エクスポートする単一オブジェクトを選択できます。ただし、これは、今のところ PNG 出力で最も役に立ちます。SVG 出力では、抽出されたバージョンで役に立つはずの多くの属性を保存していません。これを正しく実施するには、SVG にレンダリングするように Cairo に告げるだけでなく、内部の「SVG への出力」バックエンドが必要です。
ソリューション
影響を受ける librsvg パッケージを更新してください。参考資料
プラグインの詳細
深刻度: High
ID: 91278
ファイル名: openSUSE-2016-608.nasl
バージョン: 2.5
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2016/5/20
更新日: 2021/1/19
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.6
CVSS v2
リスクファクター: Medium
基本値: 5
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
CVSS v3
リスクファクター: High
基本値: 7.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
脆弱性情報
CPE: p-cpe:/a:novell:opensuse:gdk-pixbuf-loader-rsvg, p-cpe:/a:novell:opensuse:gdk-pixbuf-loader-rsvg-32bit, p-cpe:/a:novell:opensuse:gdk-pixbuf-loader-rsvg-debuginfo, p-cpe:/a:novell:opensuse:gdk-pixbuf-loader-rsvg-debuginfo-32bit, p-cpe:/a:novell:opensuse:librsvg-2-2, p-cpe:/a:novell:opensuse:librsvg-2-2-32bit, p-cpe:/a:novell:opensuse:librsvg-2-2-debuginfo, p-cpe:/a:novell:opensuse:librsvg-2-2-debuginfo-32bit, p-cpe:/a:novell:opensuse:librsvg-debugsource, p-cpe:/a:novell:opensuse:librsvg-devel, p-cpe:/a:novell:opensuse:rsvg-view, p-cpe:/a:novell:opensuse:rsvg-view-debuginfo, p-cpe:/a:novell:opensuse:typelib-1_0-rsvg-2_0, cpe:/o:novell:opensuse:13.2, cpe:/o:novell:opensuse:42.1
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
パッチ公開日: 2016/5/18
参照情報
CVE: CVE-2016-4348