AlmaLinux 9.2 [TuxCare] 安全性更新：openexr / openexr-devel / openexr-libs 多個弱點 （ALMALINUX9.2：CLSA-2026：1785335342）
medium Nessus Plugin ID 353110
語言:
概要
AlmaLinux 主機缺少一或多個安全性更新。說明
AlmaLinux 9.2 主機已安裝的套件會受到 TuxCare ALMALINUX9.2：CLSA-2026：1785335342 公告中提及的多個弱點影響。- OpenEXR 提供 EXR 檔案格式的規格和參考實作，EXR 檔案格式是電影產業的影像儲存格式。從 到 3.4.0 之前 3.4.9，對 EXR 檔案標頭中 dataWindow 屬性的缺失邊界檢查允許攻擊者在 generic_unpack（） 中觸發帶正負號的整數溢位。透過將 dataWindow.min.x 設定為較大的負值，OpenEXRCore 會計算出巨大的影像寬度，稍後用於溢位的帶正負號整數乘法，導致進程透過 UBSan 以 SIGILL 終止。此弱點已在 3.4.9 中修正。(CVE-2026-34378)
- OpenEXR 提供 EXR 檔案格式的規格和參考實作，EXR 檔案格式是電影產業的影像儲存格式。從 3.2.0 到 之前 3.2.7、 3.3.9和 3.4.9，在 src/lib/OpenEXRCore/internal_pxr24.c 的 undo_pxr24_impl（） 中，第 377 行存在帶正負號的整數溢位。運算式 （uint64_t）（w * 3） 在轉換為 uint64_t 之前，將 w * 3 計算為帶正負號的 32 位整數。當 w 較大時，此乘法構成 C 標準下的未定義行為。在測試的組建 （沒有清理器的 clang/gcc） 上，通常會發生二進制補碼環繞，而對於 w 的特定值，包裝結果會是一個小的正整數，這可能會讓後續的邊界檢查錯誤通過。如果繞過檢查，解碼迴圈會繼續透過 dout 寫入圖元數據，可能會遠遠超出配置的輸出緩衝區。此弱點已在 、 3.3.9和 3.4.9中3.2.7修正。
(CVE-2026-34380)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
根據 TuxCare 公告 ALMALINUX9.2：CLSA-2026：1785335342 中的指引更新受影響的套件。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 353110
檔案名稱: tuxcare_alma_linux_9.2_CLSA-2026-1785335342.nasl
版本: 1.1
類型: Local
已發布: 2026/9/30
已更新: 2026/9/30
支援的感應器: Continuous Assessment, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Low
分數: 3.5
百分位數: 51.46
Vendor
Vendor Severity: Moderate
CVSS v2
風險因素: Medium
基本分數: 6.1
時間性分數: 4.8
媒介: CVSS2#AV:N/AC:H/Au:N/C:N/I:P/A:C
CVSS 評分資料來源: CVE-2026-34380
CVSS v3
風險因素: Medium
基本分數: 5.9
時間性分數: 5.3
媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
必要的 KB 項目: Host/OS/extended-third-party, Host/local_checks_enabled, Host/AlmaLinux/release, Host/AlmaLinux/rpm-list, Host/cpu
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2026/7/29
弱點發布日期: 2026/4/2
參考資訊
CVE: CVE-2026-34378, CVE-2026-34380
CLSA: 2026:1785335342