Oracle Solaris 第三方修補程式更新:py_pil (multiple_vulnerabilities_in_python_image)

medium Nessus Plugin ID 80746

Synopsis

遠端 Solaris 系統缺少一個第三方軟體的安全性修補程式。

描述

遠端 Solaris 系統缺少處理安全性更新的必要修補程式:

- 在 Python Image Library (PIL) 1.1.7 和之前版本及 Pillow 2.3.1 之前的版本中,(1) JpegImagePlugin.py 中的 load_djpeg 函式、(2) EpsImagePlugin.py 中的 Ghostscript 函式、(3) IptcImagePlugin.py 中的 load 函式,以及 (4) Image.py 中的 _copy 函式未正確建立暫存檔,允許本機使用者透過對暫存檔的符號連結攻擊覆寫任意檔案並取得敏感資訊。(CVE-2014-1932)

- 在 Python Image Library (PIL) 1.1.7 和之前版本及 Pillow 2.3.1 之前版本中,(1) JpegImagePlugin.py 與 (2) EpsImagePlugin.py 指令碼在命令行上使用暫存檔的名稱,使本機使用者更容易透過列出處理程序來執行符號連結攻擊。(CVE-2014-1933)

解決方案

升級至 Solaris 11.2。

另請參閱

http://www.nessus.org/u?4a913f44

http://www.nessus.org/u?3e632c5c

Plugin 詳細資訊

嚴重性: Medium

ID: 80746

檔案名稱: solaris11_py_pil_20140731.nasl

版本: 1.3

類型: local

已發布: 2015/1/19

已更新: 2021/1/14

風險資訊

VPR

風險因素: Medium

分數: 5.9

CVSS v2

風險因素: Medium

基本分數: 4.4

媒介: AV:L/AC:M/Au:N/C:P/I:P/A:P

弱點資訊

CPE: cpe:/o:oracle:solaris:11.2, p-cpe:/a:oracle:solaris:py_pil

必要的 KB 項目: Host/local_checks_enabled, Host/Solaris11/release, Host/Solaris11/pkg-list

修補程式發佈日期: 2014/7/31

參考資訊

CVE: CVE-2014-1932, CVE-2014-1933