Amazon Linux 2：exempi (ALAS-2019-1321)

high Nessus Plugin ID 130218

語系：

概要

遠端 Amazon Linux 2 主機缺少一個安全性更新。

說明

在 2.4.4 之前的 Exempi 中發現一個問題。XMPFiles/source/FormatSupport/RIFF.cpp 的 Chunk 類別中有整數溢位情形，遠端攻擊者可藉以透過 .avi 檔案中的特製 XMP 資料造成拒絕服務 (無限迴圈)。(CVE-2017-18233) 在 2.4.3 之前的 Exempi 中發現一個問題。遠端攻擊者可藉以透過含有 JPEG 資料 (與 XMPFiles/source/FormatSupport/ReconcileTIFF.cpp、XMPFiles/source/FormatSupport/TIFF_MemoryReader.cpp 和 XMPFiles/source/FormatSupport/TIFF_Support.hpp 相關) 的 .pdf 檔案造成拒絕服務 (引發釋放後使用的無效 memcpy)，或可能造成其他不明影響。(CVE-2017-18234) 在 2.4.4 之前的 Exempi 中發現一個問題。XMPFiles/source/FormatSupport/ASF_Support.cpp 的 ASF_Support::ReadHeaderObject 函式允許遠端攻擊者透過特製的 .asf 檔案造成拒絕服務 (無限迴圈)。(CVE-2017-18236) 在 Exempi 處理 Extensible Metadata Platform (XMP) 資料 (QuickTime 檔案中) 的方式中發現無限迴圈情形。攻擊者可透過特製檔案造成拒絕服務。(CVE-2017-18238) 在 Exempi 處理 Adobe Photoshop Images 的方式中發現導致緩衝區溢位的整數循環。攻擊者可惡意利用此問題，以透過特製影像檔案造成拒絕服務。(CVE-2018-7730)

解決方案

執行「yum update exempi」以更新系統。

另請參閱

https://alas.aws.amazon.com/AL2/ALAS-2019-1321.html

Plugin 詳細資訊

嚴重性: High

ID: 130218

檔案名稱: al2_ALAS-2019-1321.nasl

版本: 1.3

類型: local

代理程式: unix

系列: Amazon Linux Local Security Checks

已發布: 2019/10/25

已更新: 2024/4/17

支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus

風險資訊

VPR

風險因素: Medium

分數: 6.7

CVSS v2

風險因素: Medium

基本分數: 6.8

時間分數: 5.3

媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS 評分資料來源: CVE-2017-18234

CVSS v3

風險因素: High

基本分數: 7.8

時間分數: 7

媒介: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

時間媒介: CVSS:3.0/E:P/RL:O/RC:C

弱點資訊

CPE: p-cpe:/a:amazon:linux:exempi, p-cpe:/a:amazon:linux:exempi-debuginfo, p-cpe:/a:amazon:linux:exempi-devel, cpe:/o:amazon:linux:2

必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2019/10/23

弱點發布日期: 2018/3/6

參考資訊

CVE: CVE-2017-18233, CVE-2017-18234, CVE-2017-18236, CVE-2017-18238, CVE-2018-7730

ALAS: 2019-1321