リモートの Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2017:1208 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    JasPer は、JPEG 2000 画像圧縮規格のパート 1 の実装です。

    セキュリティ修正プログラム:

    JasPer が JPEG 2000 画像ファイルをデコードする方法に、複数の欠陥が見つかりました。特別に細工されたファイルにより、JasPer を使用しているアプリケーションをクラッシュさせたり、任意のコードが実行されたりする可能性があります。（CVE-2016-8654、CVE-2016-9560、CVE-2016-10249、CVE-2015-5203、CVE-2015-5221、CVE-2016-1577、CVE-2016-8690、CVE-2016-8693、CVE-2016-8884、CVE-2016-8885、CVE-2016-9262、CVE-2016-9591）

    JasPer が JPEG 2000 画像ファイルをデコードする方法に、複数の欠陥が見つかりました。特別に細工されたファイルにより、JasPer を使用するアプリケーションがクラッシュする可能性があります。（CVE-2016-1867、CVE-2016-2089、CVE-2016-2116、CVE-2016-8691、CVE-2016-8692、CVE-2016-8883、CVE-2016-9387、CVE-2016-9388、CVE-2016-9389、CVE-2016-9390、CVE-2016-9391、CVE-2016-9392、CVE-2016-9393、CVE-2016-9394、CVE-2016-9583、CVE-2016-9600、CVE-2016-10248、CVE-2016-10251）

    Red Hat は、CVE-2016-8654、CVE-2016-9583、CVE-2016-9591、CVE-2016-9600を報告してくれた Liu Bingchang 氏 (IIE)、CVE-2015-5203を報告してくれた Gustavo Grieco 氏、CVE-2015-5221を報告してくれた Josselin Feist 氏に感謝の意を表します。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

jasperの更新プログラムが、Red Hat Enterprise Linux 6とRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。JasPerは、JPEG 2000画像圧縮規格のパート1の実装です。セキュリティ修正プログラム：JasPerがJPEG 2000画像ファイルをデコードする方法に、複数の欠陥が見つかりました。特別に細工されたファイルにより、JasPerを使用するアプリケーションがクラッシュしたり、任意のコードを実行したりする可能性があります。（CVE-2016-8654、CVE-2016-9560、CVE-2016-10249、CVE-2015-5203、CVE-2015-5221、CVE-2016-1577、CVE-2016-8690、CVE-2016-8693、CVE-2016-8884、CVE-2016-8885、CVE-2016-9262、CVE-2016-9591）JasPerがJPEG2000画像ファイルを復号する方法に、複数の欠陥が見つかりました。特別に細工されたファイルにより、JasPerを使用するアプリケーションがクラッシュする可能性があります。（CVE-2016-1867、CVE-2016-2089、CVE-2016-2116、CVE-2016-8691、CVE-2016-8692、CVE-2016-8883、CVE-2016-9387、CVE-2016-9388、CVE-2016-9389、CVE-2016-9390、CVE-2016-9391、CVE-2016-9392、CVE-2016-9393、CVE-2016-9394、CVE-2016-9583、CVE-2016-9600、CVE-2016-10248、CVE-2016-10251）Red Hatは、CVE-2016-8654、CVE-2016-9583、CVE-2016-9591、CVE-2016-9600を報告してくれたLiu Bingchang氏（IIE）、CVE-2015-5203を報告してくれたGustavo Grieco氏、CVE-2015-5221を報告してくれたJosselin Feist氏に感謝の意を表します。

リモートホストは、GLSA-201707-07（JasPer：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がJasPerで発見されています。詳細については、以下に記載されているCVE識別番号を参照してください。影響：リモートの攻撃者がユーザーを誘導し、JasPerを使用して特別に細工されたイメージファイルを開かせることにより、プロセスの権限で任意のコードを実行したり、サービス拒否状態を引き起こしたりする可能性があります。回避策：現時点では、既知の回避策はありません。

このjasperの更新では、以下の問題を修正します：キャッシュサイドチャネル攻撃の軽減：

  - CVE-2016-9262：base/jas_malloc.cのjas_realloc関数およびbase/jas_stream.cにあるmem_resize関数の複数の整数オーバーフローにより、リモートの攻撃者が、細工された画像を介してサービス拒否を引き起こすことができ、これによりメモリ解放後使用（Use After Free）の脆弱性が発生します。（bsc#1009994）

  - CVE-2016-9388：ras_dec.cにある関数により、リモートの攻撃者が細工されたZIPファイルを介して、サービス拒否（アサーション失敗）を引き起こすことが可能です。
    （bsc#1010975）

  - CVE-2016-9389：jpc_mct.cのjpc_irct関数およびjpc_iict関数により、リモートの攻撃者がサービス拒否（アサーション失敗）を引き起こすことが可能です。（bsc#1010968）

  - CVE-2016-9390：jas_seq.cのjas_seq2d_create関数により、リモートの攻撃者が細工されたZIPファイルを介して、サービス拒否（アサーション失敗）を引き起こすことが可能です。
    （bsc#1010774）

  - CVE-2016-9391：jpc_bs.cのjpc_bitstream_getbits関数により、リモートの攻撃者が非常に大きな整数を介して、サービス拒否（アサーション失敗）を引き起こすことが可能です。
    （bsc#1010782）

  - CVE-2017-1000050：jp2_enc.cのjp2_encode関数により、リモートの攻撃者がサービス拒否を引き起こすことが可能です。
    （bsc#1047958）CVEは以前の更新ですでに修正されました：

  - CVE-2016-9392：jpc_dec.cにあるcalcstepsizes関数により、リモートの攻撃者が細工されたファイルを通じてサービス拒否（アサーション失敗）を引き起こすことが可能です。（bsc#1010757）

  - CVE-2016-9393：jpc_t2cod.cのjpc_pi_nextrpcl関数により、リモートの攻撃者が細工されたファイルを介してサービス拒否（アサーション失敗）を引き起こすことが可能です。
    （bsc#1010766）

  - CVE-2016-9394：jas_seq.cのjas_seq2d_create関数により、リモートの攻撃者が細工されたファイルを介して、サービス拒否（アサーション失敗）を引き起こすことが可能です。
    （bsc#1010756）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
100093	RHEL 6/7：jasper（RHSA-2017:1208）	Nessus	Red Hat Local Security Checks	2017/5/10	2025/3/20	high
100174	CentOS 6/7：jasper（CESA-2017:1208）	Nessus	CentOS Local Security Checks	2017/5/16	2021/1/4	high
101338	GLSA-201707-07：JasPer：複数の脆弱性	Nessus	Gentoo Local Security Checks	2017/7/10	2021/1/11	high
106580	SUSE SLED12 / SLES12セキュリティ更新プログラム：jasper（SUSE-SU-2018:0339-1）	Nessus	SuSE Local Security Checks	2018/2/2	2025/10/30	high

検出

プラグインの検索

high

high

high

high