Debian DLA-1041-1：nasm 安全性更新

high Nessus Plugin ID 102039

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

CVE-2017-10686 在 Netwide Assembler (NASM) 2.14rc0 中，nasm 工具存在多個堆積釋放後使用弱點。相關堆積是在 token() 函式中配置，並在 detoken() 函式中釋放 (由 pp_getline() 呼叫) - 之後在多個位置亦會再使用到此堆積，進而造成多個損毀。例如，此問題會造成 detoken() 中發生損毀的雙重連結清單、delete_Token() 中發生雙重釋放或損毀，以及 detoken() 中發生超出邊界寫入。這非常有可能導致遠端程式碼執行攻擊。CVE-2017-11111 在 Netwide Assembler (NASM) 2.14rc0 中，遠端攻擊者可利用 preproc.c 透過特製檔案，造成拒絕服務 (堆積型緩衝區溢位和應用程式損毀) 或可能有其他不明影響。針對 Debian 7「Wheezy」，這些問題已在 2.10.01-1+deb7u1 版本中修正。建議您升級 nasm 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。