Debian DLA-2553-2：xcftools 迴歸更新

high Nessus Plugin ID 146360

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

用來解決 CVE-2019-5086 和 CVE-2019-5087 的修補程式不可移植，且無法在 32 位元處理器架構上運作。此更新可修正該問題。原始公告文字如下，僅供參考。

Cisco Talos 的 Claudio Bozzato 發現，xcftools 的 xcf2png 和 xcf2pnm 二進位檔中的 flattenIncrementally 函式存在可遭惡意利用的整數溢位弱點。瀏覽磁貼時可能會發生整數溢位，攻擊者可利用此問題損毀記憶體並執行任意程式碼。受害者需要開啟特別建構的 XCF 檔案才能觸發此弱點。

針對 Debian 9 Stretch，已在 1.0.7-6+deb9u2 版本中修正此問題。

建議您升級 xcftools 套件。

如需有關 xcftools 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/xcftools

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。