OpenJPEGによる報告:

オープンソースのJPEG 2000コーデックであるOpenJPEGに、複数の脆弱性が見つかりました。詳細については、CVEリストを参照してください。

r477112でCVE-2017-17479およびCVE-2017-17480が修正されました。

r480624でCVE-2018-5785が修正されました。

r489415でCVE-2018-6616が修正されました。

オープンソースのJPEG 2000コーデックであるopenjpeg2に、複数の脆弱性が発見されました。

CVE-2017-17480

fscanf呼び出しにおいてバッファ長のフォーマッターがないために発生する書き込みスタックベースのバッファオーバーフロー（jp3dおよびjpwlコーデック）。細工されたjp3dおよびjpwlファイルを使用するリモートの攻撃者がこの脆弱性を利用して、サービス拒否またはリモートコード実行を引き起こす可能性があります。

CVE-2018-18088

imagetopnmのNULL画像コンポーネントによって引き起こされるNULLポインターデリファレンス。この脆弱性をリモート攻撃者が悪用して、細工されたBMPファイルを使ってサービス拒否を引き起こす可能性があります。

Debian 8「Jessie」では、これらの問題はバージョン2.1.0-2+deb8u5で修正されました。

openjpeg2パッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このopenjpeg2の更新では、次のセキュリティ問題が修正されます：

  - CVE-2015-1239：j2k_read_ppm_v3関数の二重解放の脆弱性により、リモート攻撃者が、サービス拒否（クラッシュ）を引き起こす可能性がありました（bsc#1066713）

  - CVE-2017-17479：jpwl/convert.cのpgxtoimage関数のスタックベースのバッファオーバーフローにより、コンバーターがクラッシュする可能性がありました。（bsc#1072125）

  - CVE-2017-17480：jp3d/convert.cのpgxtovolume関数のスタックベースのバッファオーバーフローにより、コンバーターがクラッシュする可能性がありました。（bsc#1072124）

この更新はSUSEからインポートされました：SLE-12-SP2：更新プロジェクトを更新します。

このopenjpeg2の更新では、次のセキュリティ問題が修正されます：

  - CVE-2015-1239：j2k_read_ppm_v3関数の二重解放の脆弱性により、リモート攻撃者が、サービス拒否（クラッシュ）を引き起こす可能性がありました（bsc#1066713）

  - CVE-2017-17479：jpwl/convert.cのpgxtoimage関数のスタックベースのバッファオーバーフローにより、コンバーターがクラッシュする可能性がありました。（bsc#1072125）

  - CVE-2017-17480：jp3d/convert.cのpgxtovolume関数のスタックベースのバッファオーバーフローにより、コンバーターがクラッシュする可能性がありました。（bsc#1072124）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

オープンソースのJPEG 2000コーデックであるopenjpeg2に複数の脆弱性が見つかりました。これが悪用されて、サービス拒否またはリモートコードの実行が引き起こされる可能性があります。

  - CVE-2017-17480jp3dおよびjpwlのコーデックにおける書き込みスタックベースのバッファオーバーフローにより、細工されたjp3dまたはjpwlファイルを介して、サービス拒否やリモートコードの実行が発生する可能性があります。

  - CVE-2018-5785整数オーバーフローにより、細工されたbmpファイルを介してサービス拒否が発生する可能性があります。

  - CVE-2018-6616過剰反復により、細工されたbmpファイルを介してサービス拒否が発生する可能性があります。

  - CVE-2018-14423ゼロ除算の脆弱性により、細工されたj2kファイルを介してサービス拒否が発生する可能性があります。

  - CVE-2018-18088NULLポインタデリファレンスにより、細工されたbmpファイルを介してサービス拒否が発生する可能性があります。

OpenJPEGが特定のPGXファイルを不適切に処理することがわかりました。
攻撃者がこの問題を利用して、サービス拒否またはリモートのコード実行を引き起こす可能性があります。(CVE-2017-17480) 

OpenJPEGが特定のファイルを不適切に処理することがわかりました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。
(CVE-2018-14423)

OpenJPEGが特定のPNMファイルを不適切に処理することがわかりました。
攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。(CVE-2018-18088) 

OpenJPEGが特定のBMPファイルを不適切に処理することがわかりました。
攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。(CVE-2018-5785、CVE-2018-6616)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
111404	FreeBSD：FreeBSD: openjpeg -- 複数の脆弱性（11dc3890-0e64-11e8-99b0-d017c2987f9a）	Nessus	FreeBSD Local Security Checks	2018/7/30	2024/9/2	critical
119052	Debian DLA-1579-1: openjpeg2のセキュリティ更新	Nessus	Debian Local Security Checks	2018/11/21	2024/7/22	critical
110064	openSUSEセキュリティ更新プログラム：openjpeg2（openSUSE-2018-490）	Nessus	SuSE Local Security Checks	2018/5/24	2024/10/3	critical
110031	SUSE SLED12 / SLES12セキュリティ更新プログラム：openjpeg2（SUSE-SU-2018:1364-1）	Nessus	SuSE Local Security Checks	2018/5/23	2024/10/3	critical
122724	DebianDSA-4405-1: openjpeg2 - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/3/11	2024/6/14	critical
128076	Ubuntu 18.04 LTS : OpenJPEGの脆弱性 (USN-4109-1)	Nessus	Ubuntu Local Security Checks	2019/8/22	2024/8/27	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical