Debian dla-4342 : gimp - 安全性更新
high Nessus Plugin ID 271202
語言:
概要
遠端 Debian 主機上缺少一個或多個安全性更新。說明
遠端 Debian 11 主機上安裝的多個套件受到 dla-4342 公告中提及的多個弱點影響。- ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4342-1 [email protected] https://www.debian.org/lts/security/Sylvain Beucler 2025 年 10 月 22 日 https://wiki.debian.org/LTS
- -------------------------------------------------------------------------
套件: gimp 版本: 2.10.22-4+deb11u3 CVE ID : CVE-2025-2760 CVE-2025-2761 CVE-2025-5473 CVE-2025-6035 CVE-2025-10922 CVE-2025-48797 CVE-2025-48798 Debian 錯誤: 1105005 1107758 1116459
在 GNU 映像處理程式 GIMP 中發現多個弱點，如果開啟格式錯誤的 DDS、FLI、ICO、DICOM、TGA 或 XCF 映像，或者在超大映像上使用 Despeckle plug-in 時，會導致拒絕服務或可能執行任意程式碼。
CVE-2025-2760
GIMP XWD 檔案剖析整數溢位遠端程式碼執行弱點。在 XWD 檔案的剖析中存在此特定缺陷。這是未正確驗證使用者提供的資料所導致，這可能在配置緩衝區之前導致整數溢位。攻擊者可利用此弱點，在目前處理序的背景資訊中執行程式碼。為 ZDI-CAN-25082。
CVE-2025-2761
GIMP FLI 檔案剖析超出邊界寫入遠端程式碼執行弱點。在 FLI 檔案的剖析中存在特定缺陷。這是未正確驗證使用者提供的資料所導致，攻擊者可利用此缺陷造成寫入範圍超過所分配的緩衝區末尾。攻擊者可利用此弱點，在目前處理序的背景資訊中執行程式碼。為 ZDI-CAN-25100。
CVE-2025-5473
GIMP ICO 檔案剖析整數溢位遠端程式碼執行弱點。在 ICO 檔案的剖析中存在特定缺陷。這是未正確驗證使用者提供的資料所導致，這可能在寫入記憶體之前導致整數溢位。攻擊者可利用此弱點，在目前處理序的背景資訊中執行程式碼。為 ZDI-CAN-26752。
CVE-2025-6035
GIMP Despeckle plug-in 中存在一個整數溢位弱點。發生此問題是因為未檢查映像尺寸的乘法運算，例如寬度、高度和每像素位元組 (img_bpp)，這可導致配置的記憶體空間不足，繼而引發執行超出邊界寫入。此問題可導致堆積損毀、潛在拒絕服務 (DoS)，或在某些狀況下導致執行任意程式碼。
CVE-2025-10922
ZDI-CAN-27863 : GIMP DCM 檔案剖析堆積型緩衝區溢位遠端程式碼執行弱點
CVE-2025-48797
處理特定 TGA 映像檔案時出現一個缺陷。如果使用者開啟攻擊者特製的映像檔案之一，GIMP 可遭誘騙而發生嚴重的記憶體錯誤，進而可能導致當機並造成堆積緩衝區溢位。
CVE-2025-48798
處理特定 XCF 映像檔案時出現一個缺陷。如果使用者開啟攻擊者特製的映像檔案之一，GIMP 可遭誘騙而發生嚴重的記憶體錯誤，進而可能導致當機並造成釋放後使用問題。
針對 Debian 11 Bullseye，這些問題已在 2.10.22-4+deb11u3 版本中修復。
建議您升級 gimp 套件。
如需有關 gimp 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
https://security-tracker.debian.org/tracker/gimp
有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS
Tenable 已直接從 Debian 安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級 gimp 套件。另請參閱
https://security-tracker.debian.org/tracker/source-package/gimp
https://security-tracker.debian.org/tracker/CVE-2025-10922
https://security-tracker.debian.org/tracker/CVE-2025-2760
https://security-tracker.debian.org/tracker/CVE-2025-2761
https://security-tracker.debian.org/tracker/CVE-2025-48797
https://security-tracker.debian.org/tracker/CVE-2025-48798
https://security-tracker.debian.org/tracker/CVE-2025-5473
Plugin 詳細資訊
嚴重性: High
ID: 271202
檔案名稱: debian_DLA-4342.nasl
版本: 1.1
類型: local
代理程式: unix
已發布: 2025/10/22
已更新: 2025/10/22
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: Critical
基本分數: 10
時間性分數: 7.4
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2025-5473
CVSS v3
風險因素: High
基本分數: 8.8
時間性分數: 7.7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:libgimp2.0, p-cpe:/a:debian:debian_linux:libgimp2.0-doc, p-cpe:/a:debian:debian_linux:gimp, p-cpe:/a:debian:debian_linux:gimp-data, p-cpe:/a:debian:debian_linux:libgimp2.0-dev
必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2025/10/22
弱點發布日期: 2025/4/23
參考資訊
CVE: CVE-2025-10922, CVE-2025-2760, CVE-2025-2761, CVE-2025-48797, CVE-2025-48798, CVE-2025-5473, CVE-2025-6035
IAVB: 2025-B-0092