遠端 MiracleLinux 7 主機已安裝受到多個弱點影響的套件如 AXSA:2017-1282:01 公告中所提及。

    libtiff 套件包含可操控 TIFF (標記影像檔案格式) 影像格式檔案的函式程式庫。TIFF 是一種廣泛用於點陣圖影像的檔案格式。TIFF 檔案通常以 .tif 副檔名結尾且通常非常大。
    如果您需要操控 TIFF 格式的影像檔案應安裝 libtiff 套件。
    此版本修正的安全性問題
    CVE-2015-8870 在 4.0.4 之前的 LibTIFF 中tools/bmp2tiff.c 中的整數溢位可讓遠端攻擊者透過 中的特製寬度和長度值造成拒絕服務 (堆積型緩衝區過度讀取)或可能從處理程序記憶體取得敏感資訊。 BMP 檔案中的 RLE4 或 RLE8 資料。
    CVE-2016-5652 在 LibTIFF 的 TIFF2PDF 工具中處理 TIFF 影像時存在一個可遭惡意利用的堆積型緩衝區溢位。特製的 TIFF 文件可導致堆積型緩衝區溢位進而導致遠端程式碼執行。弱點可透過以其他方式傳送的已儲存 TIFF 檔案觸發。
    CVE-2016-9533 libtiff 4.0.6 中 tif_pixarlog.c 的堆積配置緩衝區存有超出邊界寫入弱點。此問題通報為 MSVR 35094亦稱為 PixarLog horizontalDifference 堆積緩衝區溢位。
    CVE-2016-9534 libtiff 4.0.6 中 tif_write.c 的 TIFFFlushData1() 錯誤程式碼路徑有問題，它無法重設 tif_rawcc 和 tif_rawcp 成員。
    此問題通報為 MSVR 35095亦即 TIFFFlushData1 堆積緩衝區溢位。
    CVE-2016-9535 libtiff 4.0.6 中的 tif_predict.h 和 tif_predict.c 存在有問題的宣告，造成在以部分取樣處理如 YCbCr 之類的異常圖塊大小時，會導致在除錯模式中引發宣告失敗，或是在釋放模式中引發緩衝區溢位。此問題通報為 MSVR 35105亦即 Predictor 堆積緩衝區溢位。
    CVE-2016-9536 libtiff 4.0.6 中的 tools/tiff2pdf.c 在 t2p_process_jpeg_strip() 中存有超出邊界寫入弱點。
    此問題通報為 MSVR 35098亦即 t2p_process_jpeg_strip 堆積緩衝區溢位。
    CVE-2016-9537 libtiff 4.0.6 中的 tools/tiffcrop.c 的緩衝區存有超出邊界寫入弱點。此問題通報為 MSVR 35093、MSVR 35096 和 MSVR 35097。
    CVE-2016-9540 在 libtiff 4.0.6 中，tools/tiffcp.c 在奇數圖塊寬度比上影像寬度的圖塊影像上會出現超出邊界寫入。此問題通報為 MSVR 35103，亦稱作「cpStripToTile 堆積緩衝區溢位」。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

MiracleLinux 7libtiff-4.0.3-27.el7 (AXSA:2017-1282:01)

critical Nessus Plugin ID 291585

版本 1.1