GLSA-201502-10：libpng：使用者協助的任意程式碼執行

critical Nessus Plugin ID 81368

語系：

概要

遠端 Gentoo 主機缺少一個或多個與安全性相關的修補程式。

說明

遠端主機受到 GLSA-201502-10 中所述的弱點影響 (libpng：使用者協助的任意程式碼執行)

在 libpng 中發現兩個弱點：
png_user_version_check 函式含有一個超出邊界記憶體存取錯誤 (libpng 1.6.15 版本資訊)；png_combine_row 函式含有一個整數溢位錯誤，其可導致堆積型緩衝區溢位 (CVE-2014-9495) 影響：

內容相依的攻擊者可誘騙使用者使用以 libpng 連結的應用程式開啟特製的 PNG 檔案，進而導致任意程式碼執行。
因應措施：

目前尚無已知的因應措施。

解決方案

所有 libpng 1.6 使用者皆應升級至最新版本：
# emerge --sync # emerge --ask --oneshot --verbose '>=media-libs/libpng-1.6.16' 所有 libpng 1.5 使用者皆應升級至最新版本：
# emerge --sync # emerge --ask --oneshot --verbose '>=media-libs/libpng-1.5.21'