Amazon Linux 2023：libde265、libde265-devel （ALAS2023-2026-1918）
high Nessus Plugin ID 327408
語言:
概要
遠端 Amazon Linux 2023 主機缺少一個安全性更新。說明
因此，它會受到 ALAS2023-2026-1918 公告中所提及的多個弱點影響。libde265 是 H.265 視訊編解碼器的開放原始碼實作。在版本之前 1.0.20，特製的 H.265 位元流可能會導致在 'decoder_context：:p rocess_reference_picture_set（）' （'libde265/decctx.cc：1376'） 中寫入越界陣列。根本原因是對預測的短期參考圖片集項目缺少彙總綁定檢查。個別清單大小已驗證，但預測 RPS 建構之後的合併計數可能會超過 16 個項目的「PocStFoll」陣列，寫入索引 16。版本 1.0.20 針對此問題提供了修補程式。(CVE-2026-49295)
libde265 是 H.265 視訊編解碼器的開放原始碼實作。在版本之前 1.0.20，特製的 H.265 NAL 單位序列會導致 'decoder_context：：read_slice_NAL（）' （'libde265/decctx.cc：481'） 將切片標頭附加到沒有活動圖像單元的完成圖片物件，從而導致攻擊者控制的無限堆積增長。在釋放圖片之前，永遠不會釋放保留的標頭，這在連續串流期間可能不會發生。版本 1.0.20 針對此問題提供了修補程式。(CVE-2026-49337)
libde265 是 H.265 視訊編解碼器的開放原始碼實作。在版本之前 1.1.0，具有較大 SPS 維度和 16 位元深度的特製 H.265 位元流會導致 'de265_image_get_buffer（）' （'libde265/image.cc：128'） 中帶正負號的整數溢位。溢位會將平面配置大小包裝為一個小值 （~1 KB），但後續的「fill_image（）」呼叫會使用 'size_t' 計算實際大小，將 ~4 GB 寫入大小不足的堆積緩衝區。版本 1.1.0 針對此問題提供了修補程式。(CVE-2026-49346)
Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
執行「dnf update libde265 --releasever 2023.12.20260706」或「dnf update --advisory ALAS2023-2026-1918 --releasever 2023.12.20260706」來更新您的系統。另請參閱
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-1918.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-49295.html
Plugin 詳細資訊
嚴重性: High
ID: 327408
檔案名稱: al2023_ALAS2023-2026-1918.nasl
版本: 1.1
類型: Local
代理程式: unix
已發布: 2026/7/16
已更新: 2026/7/16
支援的感應器: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Low
分數: 3.5
百分位: 51.97
CVSS v2
風險因素: High
基本分數: 8.5
時間性分數: 6.7
媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:C
CVSS 評分資料來源: CVE-2026-49346
CVSS v3
風險因素: High
基本分數: 7.1
時間性分數: 6.4
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:libde265-debugsource, p-cpe:/a:amazon:linux:libde265-debuginfo, p-cpe:/a:amazon:linux:libde265-devel, p-cpe:/a:amazon:linux:libde265
必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2026/7/7
弱點發布日期: 2026/6/19