遠端 Debian 10 主機上安裝的多個套件受到 dla-3539 公告中提及的多個弱點影響。

  - 在 Qt 中發現一個瑕疵。在 Qt/Qtbase 中 qt/qtbase/gui/painting/qdrawhelper_p.h 的 QRadialFetchSimd 中發現超出邊界讀取弱點。轉譯和顯示特製的可縮放向量圖形 (SVG) 檔案時，此瑕疵可能會導致未經授權的記憶體存取。此弱點對於資料機密性與應用程式可用性威脅最大。(CVE-2021-3481)

  - Qt 5.0.0 版到 5.15.2 版和 6.0.0 版到 6.2.1 版的 Qt SVG 的 QtPrivate: : QCommonArrayOps<QPainterPath: : Element>: : growAppend (從 QPainterPath: : addPath 和 QPathClipper: : intersect 呼叫) 中存在一個超出邊界寫入問題。(CVE-2021-45930)

  - 對於 Qt，在低於 5.15.14、6.2.9 之前的 6.0.x 到 6.2.x，以及 6.5.1 之前的 6.3.x 到 6.5.x 版本中，未正確處理 QtSvg QSvgFont m_unitsPerEm 初始化。(CVE-2023-32573)

  - 在 5.15.15 之前的 Qt、6.2.9 之前的 6.x、6.5.1 之前的 6.3.x 的 6.5.x 版本中發現了一個問題 。轉譯內含影像的 SVG 檔案時，可能會觸發 QTextLayout 緩衝區溢位。
    (CVE-2023-32763)

  - 在 5.15.15 之前的 Qt、6.2.9 之前的 6.x、6.5.2 之前的 6.3.x 的 6.5.x 版本中發現了一個問題 。
    TLS 的憑證驗證並不總是考慮鏈結的 root 是否為已設定的 CA 憑證。(CVE-2023-34410)

  - 在 5.15.15 之前的 Qt、6.2.9 之前的 6.x 以及 6.5.2 之前的 6.3.x 至 6.5.x 版本中，可透過特製的 XML 字串觸發前置詞大於長度的情況，進而在 QXmlStreamReader 中造成應用程式損毀。(CVE-2023-37369)

  - 在 5.15.15 之前的 Qt、6.2.10 之前的 6.x、6.5.3 之前的 6.3.x 的 6.5.x 版本中發現了一個問題 。
    遞回實體擴充中存在無限迴圈。(CVE-2023-38197)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

偵測

Debian DLA-3539-1：qt4-x11 - LTS 安全性更新

high Nessus Plugin ID 180039

版本 1.0