このsoxの更新では、以下の問題を修正します：

  - CVE-2017-11332：リモートの攻撃者が細工されたwavファイルを介してDoS（ゼロ除算）を引き起こすことが可能な、wav.cのstartread関数が修正されました。（boo#1081140）

  - CVE-2017-11358：リモートの攻撃者が細工されたhcomファイルを介してDoS（無効なメモリ読み取り）を引き起こすことが可能な、hcom.cのread_samples関数が修正されました。
    （boo#1081141）

  - CVE-2017-11359：リモートの攻撃者が細工されたsndファイルをwavファイルに変換する場合にDoS（ゼロ除算）を引き起こすことが可能な、wav.cのwavwritehdr関数が修正されました。（boo#1081142）

  - CVE-2017-15370：リモートの攻撃者が、細工された音声ファイルの変換中にDoSを引き起こすことが可能な、ima_rw.cのImaExpandS関数におけるヒープベースのバッファオーバーフローが修正されました（boo#1063439）

  - CVE-2017-15371：リモートの攻撃者が細工されたオーディオファイルの変換中にDoSを引き起こすことが可能な、formats.cの関数sox_append_comment()のアサーション中断が修正されました。（boo#1063450）

  - CVE-2017-15372：リモートの攻撃者が、細工された音声ファイルの変換中にDoSを引き起こすことが可能な、adpcm.cのIsx_ms_adpcm_block_expand_i関数におけるスタックベースのバッファオーバーフローが修正されました（boo#1063456）

  - CVE-2017-15642：攻撃者が無効な形式のAIFFファイルを提供することでトリガーする可能性のあった、aiff.cのlsx_aiffstartreadのメモリ解放後使用（Use-After-Free）の脆弱性が修正されました。
    （boo#1064576）

  - CVE-2017-18189：リモートの攻撃者がDoSを引き起こすことが可能な、xa.cのstartread関数でゼロチャンネルを指定する破損したヘッダーによってトリガーされるNULLポインターデリファレンスが修正されました（boo#1081146）。

リモートホストは、GLSA-201810-02（SoX：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がSoXで発見されています。詳細については、記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、ユーザーを誘導して細工されたWAV、HCOM、SND、またはAIFFファイルを処理させることで、サービス拒否状態を引き起こす可能性があります。回避策：現時点では、既知の回避策はありません。

オーディオ形式を変換するコマンドラインユーティリティであるsoxに、無効な形式の入力ファイルを処理することでサービス拒否（アプリケーションクラッシュ/無限ループ）またはメモリ破損を引き起こす可能性がある、さまざまなセキュリティの脆弱性が発見されました。

Debian 7「Wheezy」では、これらの問題はバージョン14.4.0-3+deb7u2で修正されました。

お使いのsoxパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

テスト目的でプラグインへの標準*sox*パスのオーバーライドを許可する*sox-14.4.2.0-16*で追加された*SOX_PLUGINS*環境変数はユーザーに公開されなくなりました。

----

**CVE-2017-15372**、**CVE-2017-15642**のセキュリティ修正。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**CVE-2017-15372**、**CVE-2017-15642**のセキュリティ修正。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

サウンド処理プログラムであるSoX（Sound eXchange）で、複数の脆弱性が見つかりました:

CVE-2017-15370

ImaAdpcmReadBlock関数（src / wav.c）は、ヒープバッファオーバーフローの影響を受けます。この脆弱性をリモート攻撃者が悪用して、細工されたWAVファイルを使ってサービス拒否（アプリケーションのクラッシュ）を引き起こす可能性があります。

CVE-2017-15372

lsx_ms_adpcm_block_expand_i関数（adpcm.c）は、スタックベースのバッファオーバーフローの影響を受けます。この脆弱性をリモート攻撃者が悪用して、細工されたオーディオファイルを使ってサービス拒否（アプリケーションのクラッシュ）を引き起こす可能性があります。

CVE-2017-15642

lsx_aiffstartread関数（aiff.c）は、メモリ解放後使用の脆弱性の影響を受けます。この欠陥をリモート攻撃者が悪用して、細工されたAIFFファイルを使ってサービス拒否（アプリケーションのクラッシュ）を引き起こす可能性があります。

CVE-2017-18189

startread関数（xa.c）は、NULLポインタデリファレンスの脆弱性の影響を受けます。この欠陥をリモート攻撃者が悪用して、細工されたMaxis XAファイルを使ってサービス拒否（アプリケーションのクラッシュ）を引き起こす可能性があります。

Debian 8「Jessie」では、これらの問題はバージョン14.4.1-5+deb8u2で修正されました。

お使いのsoxパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
106917	openSUSEセキュリティ更新プログラム：sox（openSUSE-2018-185）	Nessus	SuSE Local Security Checks	2018/2/21	2021/1/19	high
117967	GLSA-201810-02：SoX：複数の脆弱性	Nessus	Gentoo Local Security Checks	2018/10/9	2019/4/5	medium
104939	Debian DLA-1197-1: sox セキュリティ更新	Nessus	Debian Local Security Checks	2017/12/1	2021/1/11	medium
106913	Fedora 26：sox（2018-aa1bf1711d）	Nessus	Fedora Local Security Checks	2018/2/21	2021/1/6	medium
106830	Fedora 27：sox（2018-ec93095a73）	Nessus	Fedora Local Security Checks	2018/2/15	2021/1/6	medium
122512	DebianDLA-1695-1: soxのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/3/1	2024/6/18	high

検出

プラグインの検索

high

medium

medium

medium

medium

high