遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4429 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4429-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 12 月 31 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 imagemagick 版本 8:6.9.11.60+dfsg-1.3+deb11u8 CVE ID CVE-2025-65955 CVE-2025-66628 CVE-2025-68469 CVE-2025-68618 CVE-2025-68950 CVE-2025-69204 Debian 錯誤1122584 1122827

    已修正受歡迎的影像處理套件 imagemagick 中的多個弱點。

    CVE-2025-65955

         在 ImageMagick?s Magick++ 層中發現一個弱點當以空字串叫用 Options::fontFamily 時即會出現。清除 上的字型系列呼叫 RelinquishMagickMemory
        _drawInfo->font釋放字型字串但讓 _drawInfo->font 指向已釋放的記憶體而 _drawInfo->family 設為該指標 (現已無效)。之後任何對 _drawInfo->font 的清理或重複使用都會導致對懸置記憶體的重新釋放或解除參照。DestroyDrawInfo 和其他 setter (Options::font、Image::font) 假設 _drawInfo->font 保持有效因此損毀或後續更新會觸發當機或堆積損毀

    CVE-2025-66628

        TIM (PSX TIM) 影像剖析器的 ReadTIMImage 函式 (coders/tim.c) 中含有一個重大整數溢位弱點。程式碼會從檔案標頭讀取寬度和高度 (16 位元值)並在不檢查溢位的情況下計算 image_size = 2 * 寬度 * 高度。在 32 位元系統上 (或其中 size_t 為 32 位元)如果寬度和高度很大此計算可能會溢位 (例如 65535)從而換行為較小的值

    CVE-2025-68469

        ImageMagick 在處理特製的 TIFF 檔案時損毀

    CVE-2025-68618

        Magick 無法限制 SVG 檔案讀取的深度造成了 DoS 攻擊。

    CVE-2025-68950

        Magick 無法限制 MVG 相互參照形成迴圈

    CVE-2025-69204

        將惡意 MVG 檔案轉換為 SVG 時造成整數溢位。

    針對 Debian 11 Bullseye這些問題已在版本 8:6.9.11.60+dfsg-1.3+deb11u8 中修正。

    建議您升級 imagemagick 套件。

    如需有關 imagemagick 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/imagemagick

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4429imagemagick - 安全性更新

medium Nessus Plugin ID 281533

版本 1.1