Debian dla-4652：gdcm-doc - 安全性更新
high Nessus Plugin ID 323102
語言:
概要
遠端 Debian 主機上缺少一個或多個安全性更新。說明
遠端 Debian 11 主機上安裝的多個套件受到 dla-4652 公告中提及的多個弱點影響。- ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4652-1 [email protected] https://www.debian.org/lts/security/Emmanuel Arias 2026 年 6 月 26 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------
套件：gdcm 版本：3.0.8-2+deb11u1 CVE ID：CVE-2024-22373 CVE-2024-22391 CVE-2024-25569 CVE-2025-11266 CVE-2025-48429 CVE-2025-52582 CVE-2025-53618 CVE-2025-53619 CVE-2026-3650 Debian 錯誤：1070387 1122862 1123576 1123587 1123589 1132042
在 gdcm (用於處理 DICOM 醫療檔案的 C++ 程式庫) 中發現了多個弱點：
CVE-2024-22373
JPEG2000Codec::DecodeByStreamsCommon 函式中存在超出邊界寫入弱點。特製的 DICOM 檔案可能導致堆積緩衝區溢位。攻擊者可能透過提供惡意檔案，來觸發此弱點。
CVE-2024-22391
LookupTable::SetLUT 函式中存在堆積型緩衝區溢位弱點。特製的格式錯誤檔案可能導致記憶體損毀。攻擊者可能透過提供惡意檔案，來觸發此弱點。
CVE-2024-25569
RAWCodec::DecodeBytes 函式中存在超出邊界讀取弱點。特製的 DICOM 檔案可能導致超出邊界讀取。攻擊者可能透過提供惡意檔案，來觸發此弱點。
CVE-2025-11266
剖析包含封裝 PixelData 片段 (儲存為多個片段的壓縮影像資料) 的格式錯誤 DICOM 檔案時，存在超出邊界寫入弱點。此弱點會導致超出邊界記憶體存取所導致的分割錯誤，這是因為緩衝區索引中的無符號整數反向溢位。它可以透過檔案輸入來利用：只需開啟特製的惡意 DICOM 檔案就足以觸發損毀，進而導致拒絕服務情況。
CVE-2025-48429
RLECodec::DecodeByStreams 函式中存在超出邊界讀取弱點。特製的 DICOM 檔案可能導致堆積資料洩漏。攻擊者可能透過提供惡意檔案，來觸發此弱點。
CVE-2025-52582
Overlay::GrabOverlayFromPixelData 函式中存在超出邊界讀取弱點。特製的 DICOM 檔案可能導致資訊洩漏。攻擊者可能透過提供惡意檔案，來觸發此弱點。
CVE-2025-53618
JPEGBITSCodec::InternalCode 函式中存在超出邊界讀取弱點。特製的 DICOM 檔案可能導致資訊洩漏。攻擊者可能透過提供惡意檔案，來觸發此弱點。函數 grayscale_convert 是根據惡意 DICOM 檔案的值呼叫，以指定影像像素資料的預期解譯。
CVE-2025-53619
JPEGBITSCodec::InternalCode 函式中存在超出邊界讀取弱點。特製的 DICOM 檔案可能導致資訊洩漏。攻擊者可能透過提供惡意檔案，來觸發此弱點。函數 null_convert 是根據惡意 DICOM 檔案的值呼叫，以指定影像像素資料的預期解譯。
CVE-2026-3650
剖析檔案中繼資訊中具有非標準 VR 類型的格式錯誤 DICOM 檔案時，存在記憶體流失弱點。此弱點會導致大量記憶體分配和資源耗盡，進而觸發拒絕服務情況。惡意製作的檔案可在單一讀取作業中填滿堆積，而不會正確進行釋放。
針對 Debian 11 bullseye，已在 3.0.8-2+deb11u1 版本中修正這些問題。
建議您升級 gdcm 套件。
如需有關 gdcm 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/gdcm
有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章
Tenable 已直接從 Debian 安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級 gdcm-doc 套件。另請參閱
https://packages.debian.org/source/bullseye/gdcm
https://security-tracker.debian.org/tracker/CVE-2024-22373
https://security-tracker.debian.org/tracker/CVE-2024-22391
https://security-tracker.debian.org/tracker/CVE-2024-25569
https://security-tracker.debian.org/tracker/CVE-2025-11266
https://security-tracker.debian.org/tracker/CVE-2025-48429
https://security-tracker.debian.org/tracker/CVE-2025-52582
https://security-tracker.debian.org/tracker/CVE-2025-53618
https://security-tracker.debian.org/tracker/CVE-2025-53619
https://security-tracker.debian.org/tracker/CVE-2026-3650
https://security-tracker.debian.org/tracker/source-package/gdcm
Plugin 詳細資訊
嚴重性: High
ID: 323102
檔案名稱: debian_DLA-4652.nasl
版本: 1.1
類型: Local
代理程式: unix
已發布: 2026/6/26
已更新: 2026/6/26
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Medium
分數: 4.9
百分位: 57.12
CVSS v2
風險因素: Critical
基本分數: 10
時間性分數: 7.8
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2024-22391
CVSS v3
風險因素: Critical
基本分數: 9.8
時間性分數: 8.8
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
風險因素: High
Base Score: 8.7
Threat Score: 8.7
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
CVSS 評分資料來源: CVE-2026-3650
弱點資訊
CPE: p-cpe:/a:debian:debian_linux:libgdcm-java, cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:libvtkgdcm-dev, p-cpe:/a:debian:debian_linux:libgdcm-dev, p-cpe:/a:debian:debian_linux:libvtkgdcm3.0, p-cpe:/a:debian:debian_linux:gdcm-doc, p-cpe:/a:debian:debian_linux:libgdcm3.0, p-cpe:/a:debian:debian_linux:libvtkgdcm-tools, p-cpe:/a:debian:debian_linux:libgdcm-cil, p-cpe:/a:debian:debian_linux:libgdcm-tools, p-cpe:/a:debian:debian_linux:libvtkgdcm-cil, p-cpe:/a:debian:debian_linux:python3-gdcm, p-cpe:/a:debian:debian_linux:python3-vtkgdcm, p-cpe:/a:debian:debian_linux:libvtkgdcm-java
必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2026/6/26
弱點發布日期: 2024/4/25
參考資訊
CVE: CVE-2024-22373, CVE-2024-22391, CVE-2024-25569, CVE-2025-11266, CVE-2025-48429, CVE-2025-52582, CVE-2025-53618, CVE-2025-53619, CVE-2026-3650