X11フォントラスタ化ライブラリであるlibXfontに2つの脆弱性が見つかりました。これにより、サービス拒否またはメモリリークが発生する可能性があります。

このxorg-x11-libsの更新では、複数の問題を修正します。これらのセキュリティの問題が修正されました：

  - CVE-2017-16612：画像の解析中の整数オーバーフローとコメントの解析中の符号問題による、ヒープオーバーフロー（bsc#1065386）。

  - CVE-2017-13720：PatterMatchにある文字列の終端の不適切なチェックにより、無効な読み取りが発生していました（bsc#1054285）

  - CVE-2017-13722：不正な形式のPCFファイルが、DOSまたは情報の漏洩を引き起こす可能性がありました（bsc#1049692）

  - Xサーバーがrootとして任意のファイルにアクセスすることを防ぎます。情報を漏洩することはありませんが、特殊なファイルが操作されて、副作用が発生する可能性があります（bsc#1050459）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CVE-2017-13720とCVE-2017-13722のセキュリティ修正

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このlibXfontの更新では、複数の問題を修正します。

これらのセキュリティの問題が修正されました：

  - CVE-2017-13720：PatterMatchにある文字列の終端の不適切なチェックにより、無効な読み取りが発生していました（bsc#1054285）

  - CVE-2017-13722：不正な形式のPCFファイルが、DOSまたは情報の漏洩を引き起こす可能性がありました（bsc#1049692）

  - Xサーバーがrootとして任意のファイルにアクセスすることを防ぎます。情報を漏洩することはありませんが、特殊なファイルが操作されて、副作用が発生する可能性があります（bsc#1050459）

libXfontがPatternMatch内の特定のパターンを不適切に処理することがわかりました。ローカルの攻撃者がこの問題を悪用して、libXfont をクラッシュさせ、サービス拒否を引き起こしたり、秘密情報を取得したりする可能性があります。(CVE-2017-13720)

libXfontが無効な形式の特定のPCFファイルを不適切に処理することがわかりました。ローカルの攻撃者がこの問題を悪用して、libXfont をクラッシュさせ、サービス拒否を引き起こしたり、秘密情報を取得したりする可能性があります。(CVE-2017-13722)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このlibXfontの更新では、複数の問題を修正します。

これらのセキュリティの問題が修正されました：

  - CVE-2017-13720：PatterMatchにある文字列の終端の不適切なチェックにより、無効な読み取りが発生していました（bsc#1054285）

  - CVE-2017-13722：不正な形式のPCFファイルが、DOSまたは情報の漏洩を引き起こす可能性がありました（bsc#1049692）

  - Xサーバーがrootとして任意のファイルにアクセスすることを防ぎます。情報を漏洩することはありませんが、特殊なファイルが操作されて、副作用が発生する可能性があります（bsc#1050459）

この更新はSUSEからインポートされました：SLE-12-SP2：更新プロジェクトを更新します。

freedesktop.orgプロジェクトによる報告：

パターンに「？」文字がある場合、その文字列の任意の文字が「\0」であってもスキップされます。残りのマッチングは無効なメモリを読み取ります。

チェックが行われないと、不正な形式のPCFファイルによってライブラリが「strings」バッファの背後にあるランダムヒープメモリからatomを作成する可能性があります。
これにより、プロセスがクラッシュしたり、情報が漏洩したりする可能性があります。

リモートホストは、GLSA-201711-08（LibXfont、LibXfont2：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がLibXfontおよびLibXfont2で発見されています。詳細については、記載されているCVE識別番号を参照してください。影響：ローカルの攻撃者が機密情報を取得したり、サービス拒否状態を引き起こしたりする可能性があります。回避策：現時点では、既知の回避策はありません。

このlibXfontの更新では、複数の問題を修正します。これらのセキュリティの問題が修正されました：

  - CVE-2017-13720：PatterMatchにある文字列の終端の不適切なチェックにより、無効な読み取りが発生していました（bsc#1054285）

  - CVE-2017-13722：不正な形式のPCFファイルが、DOSまたは情報の漏洩を引き起こす可能性がありました（bsc#1049692）

  - Xサーバーがrootとして任意のファイルにアクセスすることを防ぎます。情報を漏洩することはありませんが、特殊なファイルが操作されて、副作用が発生する可能性があります（bsc#1050459）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
103757	Debian DSA-3995-1 : libxfont - セキュリティ更新	Nessus	Debian Local Security Checks	2017/10/11	2021/1/4	high
106449	SUSE SLES11セキュリティ更新プログラム：xorg-x11-libs（SUSE-SU-2018:0246-1）	Nessus	SuSE Local Security Checks	2018/1/29	2021/1/19	high
104157	Fedora 25：libXfont（2017-b7c4334524）	Nessus	Fedora Local Security Checks	2017/10/26	2021/1/6	high
105240	openSUSEセキュリティ更新プログラム：libXfont （openSUSE-2017-1357）	Nessus	SuSE Local Security Checks	2017/12/14	2021/1/19	high
103774	Ubuntu 14.04 LTS / 16.04 LTS : libXfont の脆弱性 (USN-3442-1)	Nessus	Ubuntu Local Security Checks	2017/10/11	2023/10/20	high
106569	openSUSEセキュリティ更新プログラム：libXfont （openSUSE-2018-124）	Nessus	SuSE Local Security Checks	2018/2/2	2021/1/19	high
106003	Fedora 27：libXfont（2017-f3e5d31524）	Nessus	Fedora Local Security Checks	2018/1/15	2021/1/6	high
105336	FreeBSD： libXfont -- 複数のメモリリーク（3b9590a1-e358-11e7-a293-54e1ad3d6335）	Nessus	FreeBSD Local Security Checks	2017/12/18	2021/1/4	high
104148	Fedora 26：libXfont（2017-2783ef2c63）	Nessus	Fedora Local Security Checks	2017/10/26	2021/1/11	high
104516	GLSA-201711-08：LibXfont、LibXfont2：複数の脆弱性	Nessus	Gentoo Local Security Checks	2017/11/13	2021/1/11	high
106576	SUSE SLED12 / SLES12セキュリティ更新プログラム：libXfont （SUSE-SU-2018:0334-1）	Nessus	SuSE Local Security Checks	2018/2/2	2019/9/10	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high

high