Debian DLA-317-1：vorbis-tools 安全性更新

medium Nessus Plugin ID 86196

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

套件 vorbis-tools 的多種問題已在 Debian LTS (squeeze) 中修正。

CVE-2014-9638

頻道數設為 0 的特製 WAV 檔案將因除以零問題而造成 oggenc 當機。此問題已透過上游提供的 CVE-2014-9639 修補程式獲得修正。由 'zuBux' 上游報告。

CVE-2014-9639

在 oggenc 中發現一個整數溢位問題，與輸入 WAV 檔案中的通道數量有關。該問題會觸發超出邊界記憶體存取，進而造成 oggenc 在此損毀 (audio.c)。由 'zuBux' 上游報告。

此問題的上游修正已反向移植至 Debian LTS (squeeze) 中的 vorbis-tools。

CVE-2014-9640

修正關閉原始輸入 (dd if=/dev/zero bs=1 count=1 | oggenc -r - -o out.ogg) 時發生的當機。由 ‘hanno' 上游報告。

此問題的上游修正已反向移植至 Debian LTS (squeeze) 中的 vorbis-tools。

CVE-2015-6749

在 vorbis-tools 1.4.0 及其之前的版本中，oggenc/audio.c 的 aiff_open 函式有緩衝區溢位問題，會允許遠端攻擊者透過特製的 AIFF 檔案造成拒絕服務 (當機)。由 ‘pengsu' 上游報告。

此問題的上游修正已反向移植至 Debian LTS (squeeze) 中的 vorbis-tools。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。