CVE-2017-7885 Artifex jbig2dec 0.13では、細工された.jb2 ファイルの操作中に、libjbig2dec.aのjbig2_symbol_dict.cのjbig2_decode_symbol_dict関数で整数オーバーフローが発生したため、ヒープベースのバッファオーバーリードが発生し、サービス拒否（アプリケーションクラッシュ）またはプロセスメモリから機密情報が漏洩することがありました。

CVE-2017-7975 Ghostscriptで使用されているArtifex jbig2dec 0.13では、細工されたJBIG2ファイルの操作中にjbig2_huffman.cのjbig2_build_huffman_table関数で整数オーバーフローするため、領域ぎ書き込みが可能になり、サービス拒否（アプリケーションクラッシュ）または任意コード実行につながる可能性があります。

CVE-2017-7976 Artifex jbig2dec 0.13では、細工された.jb2ファイルの操作中にjbig2_image.cのjbig2_image_compose関数で整数がオーバーフローするため、領域外書き込みおよび読み取りが可能になり、サービス拒否（アプリケーションクラッシュ）またはプロセスメモリからの機密情報の漏洩につながります。

Debian 7「Wheezy」では、これらの問題はバージョン0.13-4~deb7u2で修正されました。

お使いのjbig2decパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201708-10（jbig2dec：ユーザー支援による任意のコードの実行）で説明されている脆弱性に影響されています。jbig2decのjbig2_decode_symbol_dict、jbig2_build_huffman_table、およびjbig2_image_compose関数において、整数オーバーフローエラーが発見されました。影響：リモートの攻撃者がユーザーを誘導して、jbig2decにリンクされたアプリケーションを使用して特別に細工されたJBIG2ファイルを開かせることで、プロセスの権限で任意のコードが実行されたり、サービス拒否状態が引き起こされたりする可能性があります。回避策：現時点では、既知の回避策はありません。

以下のためのセキュリティ修正 CVE-2017-7885 CVE-2017-7975

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

これらのCVEに対するセキュリティ修正リリース：

  - [CVE-2016-10217]（https://access.redhat.com/security/cve/CVE-2016-10217）*（メモリ解放後使用（Use After Free）およびアプリケーションクラッシュ）*

  - [CVE-2016-10218]（https://access.redhat.com/security/cve/CVE-2016-10218）*（NULLポインターデリファレンスおよびアプリケーションクラッシュ）*

  - [CVE-2016-10219]（https://access.redhat.com/security/cve/CVE-2016-10219）*（ゼロ除算エラーおよびアプリケーションのクラッシュ）*

  - [CVE-2016-10220]（https://access.redhat.com/security/cve/CVE-2016-10220）*（NULLポインターデリファレンスおよびアプリケーションクラッシュ）*

  - [CVE-2017-5951]（https://access.redhat.com/security/cve/CVE-2017-5951）*（NULLポインターデリファレンスおよびアプリケーションクラッシュ）*

  - [CVE-2017-7975]（https://access.redhat.com/security/cve/CVE-2017-7975）*（アプリケーションクラッシュまたは任意のコード実行の可能性）*

  - [CVE-2017-8291]（https://access.redhat.com/security/cve/CVE-2017-8291）*（-dSAFERバイパスおよびリモートコマンド実行）*

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

JBIG2デコーダーライブラリに複数のセキュリティの問題が見つかりました。これにより、無効な形式の画像ファイル（通常はPDFドキュメントに埋め込まれている）を開くと、サービス拒否、プロセスメモリからの機密情報の漏洩、任意コード実行につながる可能性があります。

Bingchang Liu氏は、不正な形式の画像ファイルをデコードするとき、jbig2decがメモリを不適切に処理することを発見しました。ユーザーまたは自動化されたシステムが誘導されて、特別に細工されたJBIG2画像ファイルを処理すると、リモートの攻撃者がjbig2decをクラッシュさせ、サービス拒否を引き起こしたり、任意のコードを実行したりする可能性がこの問題により影響を受けるのは、Ubuntu 14.04 LTS、Ubuntu 16.04 LTS、および Ubuntu 16.10 のみです。
(CVE-2016-9601)

不正な形式の画像ファイルをデコードするとき、jbig2decがメモリを不適切に処理することがわかりました。ユーザーまたは自動化されたシステムが誘導されて、特別に細工された JBIG2 画像ファイルを処理すると、リモートの攻撃者が jbig2dec をクラッシュさせ、サービス拒否や秘密情報の漏えいを引き起こす可能性があります。(CVE-2017-7885)

Jiaqi Peng氏は、不正な形式の画像ファイルをデコードするとき、jbig2decがメモリを不適切に処理することを発見しました。ユーザーまたは自動化されたシステムが誘導されて、特別に細工された JBIG2 画像ファイルを処理すると、リモートの攻撃者が jbig2dec をクラッシュさせ、サービス拒否を引き起こしたり、任意のコードを実行したりする可能性があります。(CVE-2017-7975)

Dai Ge氏は、不正な形式の画像ファイルをデコードするとき、jbig2decがメモリを不適切に処理することを発見しました。ユーザーまたは自動化されたシステムが誘導されて、特別に細工された JBIG2 画像ファイルを処理すると、リモートの攻撃者が jbig2dec をクラッシュさせ、サービス拒否や秘密情報の漏えいを引き起こす可能性があります。(CVE-2017-7976)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
100177	Debian DLA-942-1: jbig2decセキュリティ更新	Nessus	Debian Local Security Checks	2017/5/16	2021/1/11	high
102799	GLSA-201708-10：jbig2dec：ユーザー支援による任意のコードの実行	Nessus	Gentoo Local Security Checks	2017/8/28	2021/1/11	high
100310	Fedora 25：jbig2dec（2017-58170ecb09）	Nessus	Fedora Local Security Checks	2017/5/22	2021/1/6	high
100013	Fedora 25：ghostscript（2017-c85c0e5637）	Nessus	Fedora Local Security Checks	2017/5/8	2022/5/25	high
100201	Fedora 24：ghostscript（2017-fae1506f94）	Nessus	Fedora Local Security Checks	2017/5/16	2022/5/25	high
100277	Debian DSA-3855-1: jbig2dec - セキュリティ更新	Nessus	Debian Local Security Checks	2017/5/19	2021/1/11	high
100413	Ubuntu 14.04 LTS / 16.04 LTS : jbig2dec の脆弱性 (USN-3297-1)	Nessus	Ubuntu Local Security Checks	2017/5/25	2023/10/20	high
101695	Fedora 26：ghostscript（2017-a606d224a5）	Nessus	Fedora Local Security Checks	2017/7/17	2022/5/25	high

検出

プラグインの検索

high

high

high

high

high

high

high

high