Amazon Linux 2libpng --advisory ALAS2-2026-3244 (ALAS-2026-3244)
high Nessus Plugin ID 306264
語言:
概要
遠端 Amazon Linux 2 主機缺少安全性更新。說明
遠端主機上安裝的 libpng 版本低於 1.5.13-8。因此，它會受到 ALAS2-2026-3244 公告中提及的一個弱點影響。LIBPNG 是在讀取、建立及操控 PNG (可攜式網路圖形) 點陣影像檔案的應用程式中使用的參照程式庫。在 1.2.1 至 1.6.55版中`png_set_tRNS` 與 `png_set_PLTE` 各有一個 `png_struct` 與 `png_info` 之間的堆積配置緩衝區別名其在具有獨立存留期的兩個結構中共用單一配置。`trans_alpha` 別名至少從 libpng 1.0開始存在而且 `palette` 別名至少從 1.2.1開始存在。兩者都會影響所有先前的版本行 `png_set_tRNS` 設定 `png_ptr->trans_alpha = info_ptr->trans_alpha` (256 位元組緩衝區)且 `png_set_PLTE` 設定 `info_ptr->palette = png_ptr->palette` (768 位元組緩衝區)。在這兩種情況下呼叫 `png_free_data` (使用 `PNG_FREE_TRNS` 或 `PNG_FREE_PLTE`) 可透過 `info_ptr` 釋放緩衝區而對應的 `png_ptr` 指標仍懸置。後續 row-transform 函式解除參照並在某些程式碼路徑中寫入釋放的記憶體。對 `png_set_tRNS` 或 `png_set_PLTE` 的第二次呼叫具有相同效果因為這兩個函式都會在內部呼叫 `png_free_data`然後再重新配置 `info_ptr` 緩衝區。1.6.56 版已修正此問題。
注意：https://github.com/pnggroup/libpng/security/advisories/GHSA-m4pc-p4q3-4c7jNOTE:
https://github.com/pnggroup/libpng/pull/824NOTE: 修正者：
https://github.com/pnggroup/libpng/commit/23019269764e35ed8458e517f1897bd3c54820eb (v1.6.56)注意修正者 https://github.com/pnggroup/libpng/commit/a3a21443ed12bfa1ef46fa0d4fb2b74a0fa34a25 (v1.6.56)注意
修正者 https://github.com/pnggroup/libpng/commit/7ea9eea884a2328cc7fdcb3c0c00246a50d90667(v1.6.56)NOTE: 修正者
https://github.com/pnggroup/libpng/commit/c1b0318b393c90679e6fa5bc1d329fd5d5012ec1 (v1.6.56) (CVE-2026-33416)
Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
執行「yum update libpng」或 或「yum update --advisory ALAS2-2026-3244」以更新系統。另請參閱
https://alas.aws.amazon.com//AL2/ALAS2-2026-3244.html
Plugin 詳細資訊
嚴重性: High
ID: 306264
檔案名稱: al2_ALAS-2026-3244.nasl
版本: 1.1
類型: Local
代理程式: unix
已發布: 2026/4/14
已更新: 2026/4/14
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
風險資訊
VPR
風險因素: High
分數: 7.4
CVSS v2
風險因素: High
基本分數: 7.6
時間性分數: 6
媒介: CVSS2#AV:N/AC:H/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2026-33416
CVSS v3
風險因素: High
基本分數: 7.5
時間性分數: 6.7
媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:amazon:linux:libpng-debuginfo, p-cpe:/a:amazon:linux:libpng, p-cpe:/a:amazon:linux:libpng-static, cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:libpng-devel
必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2026/4/14
弱點發布日期: 2026/3/10
參考資訊
CVE: CVE-2026-33416
IAVA: 2026-A-0272