远程 Debian 10 主机上安装的程序包受到 dla-3518 公告中提及的多个漏洞影响。

  - 在 OpenImageIO v2.3.19.0 中解析 TIFF 图像时，处理 IPTC 数据的过程中存在堆越界读取漏洞。特别构建的 TIFF 文件可导致读取邻近堆内存，进而泄漏敏感进程信息。攻击者可提供恶意路径来触发此漏洞。(CVE-2022-41649)

  - 解析 PSD 图像文件的图像文件目录部分时，OpenImageIO master-branch-9aeece7a 中存在堆越界读取漏洞。特别构建的 .psd 文件可导致读取任意内存地址，进而造成拒绝服务。攻击者可提供恶意路径来触发此漏洞。(CVE-2022-41684)

  - OpenImageIO 2.3.19.0 版的 PSD 缩略图资源解析代码中存在一个基于堆的缓冲区溢出漏洞 。特制的 PSD 文件可导致任意代码执行。攻击者可提供恶意路径来触发此漏洞。(CVE-2022-41794)

  - OpenImageIO Project OpenImageIO v2.4.4.2 版的 OpenImageIO: : add_exif_item_to_spec 功能中存在越界写入漏洞。特制的 exif 元数据可导致基于堆栈的内存损坏。攻击者可提供恶意路径来触发此漏洞。(CVE-2022-41837)

  - OpenImageIO Project OpenImageIO v2.4.7.1 版的 FitsOutput: : close() 功能中存在拒绝服务漏洞。特别构建的 ImageOutput 对象可导致拒绝服务。攻击者可提供恶意输入来触发此漏洞。(CVE-2023-24472)

  - OpenImageIO v.2.4.12.0 和更早版本中存在缓冲区溢出漏洞，允许远程攻击者借助读取函数的构建文件，执行任意代码并获取敏感信息。(CVE-2023-36183)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Fedora 37 ホストには、FEDORA-2023-c3d65c8f7b のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OpenImageIO プロジェクト OpenImageIO v2.4.7.1 の TGAInput::decode_pixel() 機能に領域外読み取りの脆弱性が存在します。特別に細工された targa ファイルにより、情報漏洩が引き起こされる可能性があります。攻撃者が悪質なファイルを提供してこの脆弱性を利用する可能性があります。(CVE-2023-22845)

  - OpenImageIO プロジェクト OpenImageIO v2.4.7.1 の FitsOutput::close() 機能にサービス拒否の脆弱性が存在します。特別に細工された ImageOutput オブジェクトにより、サービス拒否が発生する可能性があります。攻撃者が悪意のある情報を入力してこの脆弱性を利用する可能性があります。(CVE-2023-24472)

  - OpenImageIO プロジェクト OpenImageIO v2.4.7.1 の TGAInput::read_tga2_header 機能に情報漏洩の脆弱性が存在します。特別に細工された targa ファイルにより、機密情報が漏洩する可能性があります。攻撃者が悪意のあるファイルを提供してこの脆弱性を利用する可能性があります。
    (CVE-2023-24473)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 10 ホストには、dla-3518 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OpenImageIO v2.3.19.0 で TIFF 画像を解析する際の IPTC データの処理に、ヒープ領域外読み取りの脆弱性が存在します。特別に細工された TIFF ファイルにより、隣接するヒープメモリの読み取りが発生し、機密プロセス情報が漏洩する可能性があります。攻撃者が悪意のあるファイルを提供してこの脆弱性を利用する可能性があります。(CVE-2022-41649)

  - PSD 画像ファイルの画像ファイルディレクトリ部分を解析する際に、OpenImageIO master-branch-9aeece7a にヒープ領域外読み取りの脆弱性が存在します。特別に細工された .psd ファイルにより、任意のメモリアドレスの読み取りが発生し、サービス拒否が発生する可能性があります。攻撃者が悪意のあるファイルを提供してこの脆弱性を利用する可能性があります。(CVE-2022-41684)

  - OpenImageIO 2.3.19.0 の PSD サムネイルリソース解析コードに、ヒープベースのバッファオーバーフローの脆弱性が存在します。特別に細工された PSD ファイルにより、任意のコードが実行される可能性があります。攻撃者が悪意のあるファイルを提供してこの脆弱性を利用する可能性があります。(CVE-2022-41794)

  - OpenImageIO に領域外書き込みの脆弱性が存在します: : OpenImageIO Project OpenImageIO v2.4.4.2 の add_exif_item_to_spec 機能。特別に細工された exif メタデータにより、スタックベースのメモリ破損が発生する可能性があります。攻撃者が悪意のあるファイルを提供してこの脆弱性を利用する可能性があります。(CVE-2022-41837)

  - OpenImageIO Project OpenImageIO v2.4.7.1 の FitsOutput: : close() 機能にサービス拒否の脆弱性が存在します。特別に細工された ImageOutput Object により、サービス拒否が発生する可能性があります。攻撃者が悪意のある情報を入力してこの脆弱性を利用する可能性があります。(CVE-2023-24472)

  - OpenImageIO v.2.4.12.0 以前のバッファオーバーフローの脆弱性により、細工されたファイルを readimg 関数に渡すことで、リモートが任意のコードを実行したり、機密情報を取得したりする可能性があります。(CVE-2023-36183)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The remote Fedora 37 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2023-c3d65c8f7b advisory.

  - An out-of-bounds read vulnerability exists in the TGAInput::decode_pixel() functionality of OpenImageIO     Project OpenImageIO v2.4.7.1. A specially crafted targa file can lead to information disclosure. An     attacker can provide a malicious file to trigger this vulnerability. (CVE-2023-22845)

  - A denial of service vulnerability exists in the FitsOutput::close() functionality of OpenImageIO Project     OpenImageIO v2.4.7.1. A specially crafted ImageOutput Object can lead to denial of service. An attacker     can provide malicious input to trigger this vulnerability. (CVE-2023-24472)

  - An information disclosure vulnerability exists in the TGAInput::read_tga2_header functionality of     OpenImageIO Project OpenImageIO v2.4.7.1. A specially crafted targa file can lead to a disclosure of     sensitive information. An attacker can provide a malicious file to trigger this vulnerability.
    (CVE-2023-24473)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 10 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3518 advisory.

  - A heap out of bounds read vulnerability exists in the handling of IPTC data while parsing TIFF images in     OpenImageIO v2.3.19.0. A specially-crafted TIFF file can cause a read of adjacent heap memory, which can     leak sensitive process information. An attacker can provide a malicious file to trigger this     vulnerability. (CVE-2022-41649)

  - A heap out of bounds read vulnerability exists in the OpenImageIO master-branch-9aeece7a when parsing the     image file directory part of a PSD image file. A specially-crafted .psd file can cause a read of arbitrary     memory address which can lead to denial of service. An attacker can provide a malicious file to trigger     this vulnerability. (CVE-2022-41684)

  - A heap based buffer overflow vulnerability exists in the PSD thumbnail resource parsing code of     OpenImageIO 2.3.19.0. A specially-crafted PSD file can lead to arbitrary code execution. An attacker can     provide a malicious file to trigger this vulnerability. (CVE-2022-41794)

  - An out-of-bounds write vulnerability exists in the OpenImageIO::add_exif_item_to_spec functionality of     OpenImageIO Project OpenImageIO v2.4.4.2. Specially-crafted exif metadata can lead to stack-based memory     corruption. An attacker can provide a malicious file to trigger this vulnerability. (CVE-2022-41837)

  - A denial of service vulnerability exists in the FitsOutput::close() functionality of OpenImageIO Project     OpenImageIO v2.4.7.1. A specially crafted ImageOutput Object can lead to denial of service. An attacker     can provide malicious input to trigger this vulnerability. (CVE-2023-24472)

  - Buffer Overflow vulnerability in OpenImageIO v.2.4.12.0 and before allows a remote to execute arbitrary     code and obtain sensitive information via a crafted file to the readimg function. (CVE-2023-36183)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端 Debian 10 主機上安裝的多個套件受到 dla-3518 公告中提及的多個弱點影響。

  - 在 OpenImageIO v2.3.19.0 中剖析 TIFF 影像時，程式在處理 IPTC 資料時會發生堆積讀取超出邊界。特製的 TIFF 檔案可造成相鄰的堆積記憶體讀取，進而洩漏敏感的處理序資訊。攻擊者可能透過提供惡意檔案，來觸發此弱點。(CVE-2022-41649)

  - 剖析 PSD 影像檔的影像檔案目錄部分時，OpenImageIO master-branch-9aeece7a 中會發生堆積讀取超出邊界。特製的 .psd 檔案可造成任意記憶體位址讀取，進而導致拒絕服務。攻擊者可能透過提供惡意檔案，來觸發此弱點。(CVE-2022-41684)

  - OpenImageIO 2.3.19.0的 PSD 縮圖資源剖析程式碼中存在堆積型緩衝區溢位弱點。特製的 PSD 檔案可導致任意程式碼執行。攻擊者可能透過提供惡意檔案，來觸發此弱點。(CVE-2022-41794)

  - OpenImageIO Project OpenImageIO v2.4.4.2 的 OpenImageIO: : add_exif_item_to_spec 功能中存在超出邊界寫入弱點。特製的 exif 中繼資料可導致堆疊型記憶體損毀。攻擊者可透過提供惡意檔案來觸發此弱點。(CVE-2022-41837)

  - OpenImageIO Project OpenImageIO v2.4.7.1 的 FitsOutput: : close() 功能中存在拒絕服務弱點。特製的 ImageOutput 物件可導致拒絕服務。攻擊者可藉由提供惡意輸入來觸發此弱點。(CVE-2023-24472)

  - OpenImageIO v.2.4.12.0 及更早版本中存在緩衝區溢位弱點，允許遠端攻擊者藉助讀取函式的特製檔案，執行任意程式碼並取得敏感資訊。(CVE-2023-36183)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
179425	Debian DLA-3518-1：openimageio - LTS 安全更新	Nessus	Debian Local Security Checks	2023/8/8	2023/8/8	critical
171777	Fedora 37 : OpenImageIO (2023-c3d65c8f7b)	Nessus	Fedora Local Security Checks	2023/2/22	2024/4/29	high
179425	Debian DLA-3518-1 : openimageio - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2023/8/8	2023/8/8	critical
171777	Fedora 37 : OpenImageIO (2023-c3d65c8f7b)	Nessus	Fedora Local Security Checks	2023/2/22	2024/4/29	high
179425	Debian DLA-3518-1 : openimageio - LTS security update	Nessus	Debian Local Security Checks	2023/8/8	2023/8/8	critical
179425	Debian DLA-3518-1：openimageio - LTS 安全性更新	Nessus	Debian Local Security Checks	2023/8/8	2023/8/8	critical

検出

プラグインの検索

critical

high

critical

high

critical

critical