このバージョン 1.900.14 への jasperの更新プログラムでは、いくつかの問題が修正されます。

これらのセキュリティの問題が修正されました：

  - CVE-2008-3522：JasPerのlibjasper/base/jas_stream.cにあるjas_stream_printf関数でのバッファオーバーフローにより、コンテキスト依存の攻撃者が、mif_hdr_put関数およびvsprintfの使用に関連するベクトルを通じて、未知の影響を与えることができる可能性があります（bsc#392410）

  - CVE-2015-5203：JasPer JPEG-2000実装における二重解放の破損（bsc#941919）。

  - CVE-2015-5221：Jasper JPEG-200におけるのuse-after-free（および二重解放）（bsc#942553）。

  - CVE-2016-1577：JasPerのjas_iccattrval_destroy関数における二十解放の脆弱性により、リモート攻撃者がサービス拒否(クラッシュ）を引き起こしたり、JPEG 2000画像ファイルに含まれる細工されたICCカラープロファイルを使用して任意のコードを実行できる可能性があります。これはCVE-2014-8137とは異なる脆弱性です（bsc#968373）。

  - CVE-2016-2116：JasPerのjas_iccprof_createfrombuf関数でのメモリリークにより、リモート攻撃者が function in  allowed remote attackers to cause a denial of service (memory consumption) via a crafted ICC color profile in a JPEG 2000 image file (bsc#968373)

  - CVE-2016-8690：細工されたBMP画像によって引き起こされるbmp_getdataでのNULLポインターデリファレンス（bsc#1005084）。

  - CVE-2016-8691、CVE-2016-8692：SIZマーカーセグメントのXRsizおよびYRsizフィールドでの範囲チェックの欠落（bsc#1005090）。

  - CVE-2016-8693：メモリストリームインターフェイスにより、ゼロのバッファサイズを使用できる可能性がありました。☆ サイズがゼロのバッファのケースが正しく処理されませんでした。これにより、二重解放が発生する可能性があります（bsc#1005242）。

  - CVE-2016-8880：jpc_dec_cp_setfromcox()でのヒープオーバーフロー（bsc#1006591）。

  - CVE-2016-8881：jpc_getuint16()でのヒープオーバーフロー（bsc#1006593）。

  - CVE-2016-8882：jpc_pi_destroyでのNULLポインターアクセス（bsc#1006597）。

  - CVE-2016-8883：jpc_dec_tiledecode()で引き起こされるアサート（bsc#1006598）。☆

  - CVE-2016-8886：jas_malloc（jas_malloc.c）でのメモリ割り当ての失敗（bsc#1006599）。

    その他の変更の説明については、変更ログを参照してください。

来自 Red Hat 安全公告 2017:1208： jasper 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 JasPer 是 JPEG 2000 图像压缩标准第 1 部分的实现。 安全补丁： 在 JasPer 解码 JPEG 2000 图像文件的方式中发现多个缺陷。特制的文件可导致使用 JasPer 的应用程序崩溃或执行任意代码。(CVE-2016-8654, CVE-2016-9560, CVE-2016-10249, CVE-2015-5203, CVE-2015-5221, CVE-2016-1577, CVE-2016-8690, CVE-2016-8693, CVE-2016-8884, CVE-2016-8885, CVE-2016-9262, CVE-2016-9591) 在 JasPer 解码 JPEG 2000 图像文件的方式中发现多个缺陷。特制的文件可导致使用 JasPer 的应用程序崩溃。(CVE-2016-1867, CVE-2016-2089, CVE-2016-2116, CVE-2016-8691, CVE-2016-8692, CVE-2016-8883, CVE-2016-9387, CVE-2016-9388, CVE-2016-9389, CVE-2016-9390, CVE-2016-9391, CVE-2016-9392, CVE-2016-9393, CVE-2016-9394, CVE-2016-9583, CVE-2016-9600, CVE-2016-10248, CVE-2016-10251) Red Hat 在此感谢 Liu Bingchang (IIE) 报告 CVE-2016-8654、CVE-2016-9583、CVE-2016-9591 和 CVE-2016-9600； Gustavo Grieco 报告了 CVE-2015-5203；以及 Josselin Feist 报告 CVE-2015-5221。

远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2017:1208 公告中提及的多个漏洞的影响。

    JasPer 是 JPEG 2000 图像压缩标准第 1 部分的实现。

    安全修复：

    在 JasPer 解码 JPEG 2000 图像文件的方式中发现多个缺陷。特别构建的文件可导致使用 JasPer 的应用程序崩溃或执行任意代码。(CVE-2016-8654, CVE-2016-9560, CVE-2016-10249, CVE-2015-5203, CVE-2015-5221, CVE-2016-1577, CVE-2016-8690, CVE-2016-8693, CVE-2016-8884, CVE-2016-8885, CVE-2016-9262, CVE-2016-9591)

    在 JasPer 解码 JPEG 2000 图像文件的方式中发现多个缺陷。特制的文件可导致使用 JasPer 的应用程序崩溃。(CVE-2016-1867, CVE-2016-2089, CVE-2016-2116, CVE-2016-8691, CVE-2016-8692, CVE-2016-8883, CVE-2016-9387, CVE-2016-9388, CVE-2016-9389, CVE-2016-9390, CVE-2016-9391, CVE-2016-9392, CVE-2016-9393, CVE-2016-9394, CVE-2016-9583, CVE-2016-9600, CVE-2016-10248, CVE-2016-10251)

    Red Hat 在此感谢 Liu Bingchang (IIE) 报告 CVE-2016-8654、CVE-2016-9583、CVE-2016-9591 和 CVE-2016-9600；感谢 Gustavo Grieco 报告 CVE-2015-5203；以及感谢 Josselin Feist 报告 CVE-2015-5221。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

jasper 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。JasPer 是 JPEG 2000 图像压缩标准第 1 部分的实现。安全修复：在 JasPer 解码 JPEG 2000 图像文件的方式中发现多个缺陷。特制的文件可导致使用 JasPer 的应用程序崩溃或执行任意代码。(CVE-2016-8654, CVE-2016-9560, CVE-2016-10249, CVE-2015-5203, CVE-2015-5221, CVE-2016-1577, CVE-2016-8690, CVE-2016-8693, CVE-2016-8884, CVE-2016-8885, CVE-2016-9262, CVE-2016-9591) 在 JasPer 解码 JPEG 2000 图像文件的方式中发现多个缺陷。特制的文件可导致使用 JasPer 的应用程序崩溃。(CVE-2016-1867, CVE-2016-2089, CVE-2016-2116, CVE-2016-8691, CVE-2016-8692, CVE-2016-8883, CVE-2016-9387, CVE-2016-9388, CVE-2016-9389, CVE-2016-9390, CVE-2016-9391, CVE-2016-9392, CVE-2016-9393, CVE-2016-9394, CVE-2016-9583, CVE-2016-9600, CVE-2016-10248, CVE-2016-10251) Red Hat 在此感谢 Liu Bingchang (IIE) 报告 CVE-2016-8654、CVE-2016-9583、CVE-2016-9591、CVE-2016-9600；感谢 Gustavo Grieco 报告 CVE-2015-5203；并感谢 Josselin Feist 报告 CVE-2015-5221。

已发现 JasPer 未正确处理某些畸形的 JPEG-2000 图像文件。如果使用 JasPer 的用户或自动化系统受到诱骗打开特制的图像，则攻击者可利用此漏洞造成拒绝服务，或可能以调用该程序的用户权限执行代码。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

已在用于处理 JPEG-2000 图像的 JasPer 库中发现多个漏洞，可导致处理格式错误的图像时发生拒绝服务或执行任意代码。

Security Fix(es) :

Multiple flaws were found in the way JasPer decoded JPEG 2000 image files. A specially crafted file could cause an application using JasPer to crash or, possibly, execute arbitrary code. (CVE-2016-8654, CVE-2016-9560, CVE-2016-10249, CVE-2015-5203, CVE-2015-5221, CVE-2016-1577, CVE-2016-8690, CVE-2016-8693, CVE-2016-8884, CVE-2016-8885, CVE-2016-9262, CVE-2016-9591)

Multiple flaws were found in the way JasPer decoded JPEG 2000 image files. A specially crafted file could cause an application using JasPer to crash. (CVE-2016-1867, CVE-2016-2089, CVE-2016-2116, CVE-2016-8691, CVE-2016-8692, CVE-2016-8883, CVE-2016-9387, CVE-2016-9388, CVE-2016-9389, CVE-2016-9390, CVE-2016-9391, CVE-2016-9392, CVE-2016-9393, CVE-2016-9394, CVE-2016-9583, CVE-2016-9600, CVE-2016-10248, CVE-2016-10251)

According to the versions of the jasper package installed, the EulerOS installation on the remote host is affected by the following vulnerabilities :

  - Multiple flaws were found in the way JasPer decoded     JPEG 2000 image files. A specially crafted file could     cause an application using JasPer to crash or,     possibly, execute arbitrary code. (CVE-2016-8654,     CVE-2016-9560, CVE-2016-10249, CVE-2015-5203,     CVE-2015-5221, CVE-2016-1577, CVE-2016-8690,     CVE-2016-8693, CVE-2016-8884, CVE-2016-8885,     CVE-2016-9262, CVE-2016-9591)

  - Multiple flaws were found in the way JasPer decoded     JPEG 2000 image files. A specially crafted file could     cause an application using JasPer to crash.
    (CVE-2016-1867, CVE-2016-2089, CVE-2016-2116,     CVE-2016-8691, CVE-2016-8692, CVE-2016-8883,     CVE-2016-9387, CVE-2016-9388, CVE-2016-9389,     CVE-2016-9390, CVE-2016-9391, CVE-2016-9392,     CVE-2016-9393, CVE-2016-9394, CVE-2016-9583,     CVE-2016-9600, CVE-2016-10248, CVE-2016-10251)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

An update for jasper is now available for Red Hat Enterprise Linux 6 and Red Hat Enterprise Linux 7.

Red Hat Product Security has rated this update as having a security impact of Important. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

JasPer is an implementation of Part 1 of the JPEG 2000 image compression standard.

Security Fix(es) :

Multiple flaws were found in the way JasPer decoded JPEG 2000 image files. A specially crafted file could cause an application using JasPer to crash or, possibly, execute arbitrary code. (CVE-2016-8654, CVE-2016-9560, CVE-2016-10249, CVE-2015-5203, CVE-2015-5221, CVE-2016-1577, CVE-2016-8690, CVE-2016-8693, CVE-2016-8884, CVE-2016-8885, CVE-2016-9262, CVE-2016-9591)

Multiple flaws were found in the way JasPer decoded JPEG 2000 image files. A specially crafted file could cause an application using JasPer to crash. (CVE-2016-1867, CVE-2016-2089, CVE-2016-2116, CVE-2016-8691, CVE-2016-8692, CVE-2016-8883, CVE-2016-9387, CVE-2016-9388, CVE-2016-9389, CVE-2016-9390, CVE-2016-9391, CVE-2016-9392, CVE-2016-9393, CVE-2016-9394, CVE-2016-9583, CVE-2016-9600, CVE-2016-10248, CVE-2016-10251)

Red Hat would like to thank Liu Bingchang (IIE) for reporting CVE-2016-8654, CVE-2016-9583, CVE-2016-9591, and CVE-2016-9600;
Gustavo Grieco for reporting CVE-2015-5203; and Josselin Feist for reporting CVE-2015-5221.

Note that Tenable Network Security has attempted to extract the preceding description block directly from the corresponding Red Hat security advisory. Virtuozzo provides no description for VZLSA advisories. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for jasper to version 1.900.14 fixes several issues. These security issues were fixed :

  - CVE-2016-8887: NULL pointer dereference in     jp2_colr_destroy (jp2_cod.c) (bsc#1006836)

  - CVE-2016-8886: memory allocation failure in jas_malloc     (jas_malloc.c) (bsc#1006599)

  - CVE-2016-8884,CVE-2016-8885: two NULL pointer     dereferences in bmp_getdata (incomplete fix for     CVE-2016-8690) (bsc#1007009)

  - CVE-2016-8883: assert in jpc_dec_tiledecode()     (bsc#1006598)

  - CVE-2016-8882: segfault / NULL pointer access in     jpc_pi_destroy (bsc#1006597)

  - CVE-2016-8881: Heap overflow in jpc_getuint16()     (bsc#1006593)

  - CVE-2016-8880: Heap overflow in jpc_dec_cp_setfromcox()     (bsc#1006591)

  - CVE-2016-8693 Double free vulnerability in mem_close     (bsc#1005242)

  - CVE-2016-8691, CVE-2016-8692: Divide by zero in     jpc_dec_process_siz (bsc#1005090)

  - CVE-2016-8690: NULL pointer dereference in bmp_getdata     triggered by crafted BMP image (bsc#1005084)

  - CVE-2016-2116: Memory leak in the     jas_iccprof_createfrombuf function in JasPer allowed     remote attackers to cause a denial of service (memory     consumption) via a crafted ICC color profile in a JPEG     2000 image file (bsc#968373)

  - CVE-2016-2089: invalid read in the JasPer's     jas_matrix_clip() function (bsc#963983)

  - CVE-2016-1867: Out-of-bounds Read in the JasPer's     jpc_pi_nextcprl() function (bsc#961886)

  - CVE-2015-5221: Use-after-free (and double-free) in     Jasper JPEG-200 (bsc#942553).

  - CVE-2015-5203: Double free corruption in JasPer     JPEG-2000 implementation (bsc#941919)

  - CVE-2008-3522: Buffer overflow in the jas_stream_printf     function in libjasper/base/jas_stream.c in JasPer might     have allowed context-dependent attackers to have an     unknown impact via vectors related to the mif_hdr_put     function and use of vsprintf (bsc#392410)

  - jasper: NULL pointer dereference in jp2_colr_destroy     (jp2_cod.c) (incomplete fix for CVE-2016-8887)     (bsc#1006839) For additional change description please     have a look at the changelog.

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Fedora 24 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2016-e0f0d48142 advisory.

    This update contains security fix for CVE-2016-8883, CVE-2016-8882, CVE-2016-8881, CVE-2016-8880,     CVE-2016-8884, CVE-2016-8885, CVE-2016-8887, CVE-2016-8886.

    ----

    New version of jasper is available (jasper-1.900.13).
    Security fix for CVE-2016-8690, CVE-2016-8691, CVE-2016-8692, CVE-2016-8693.

    ----

    New version of jasper is available (1.900.3)

    ----

    Security fix for CVE-2016-2089

    ----

    New version of jasper is available.



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 23 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2016-6c789ba91d advisory.

    This update contains security fix for CVE-2016-8883, CVE-2016-8882, CVE-2016-8881, CVE-2016-8880,     CVE-2016-8884, CVE-2016-8885, CVE-2016-8887, CVE-2016-8886.

    ----

    New version of jasper is available (jasper-1.900.13).
    Security fix for CVE-2016-8690, CVE-2016-8691, CVE-2016-8692, CVE-2016-8693.

    ----

    New version of jasper is available (1.900.3)

    ----

    Security fix for CVE-2016-2089

    ----

    New version of jasper is available.


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
94601	openSUSEセキュリティ更新プログラム：jasper（openSUSE-2016-1270）	Nessus	SuSE Local Security Checks	2016/11/7	2021/1/19	high
100089	Oracle Linux 6 / 7 : jasper (ELSA-2017-1208)	Nessus	Oracle Linux Local Security Checks	2017/5/10	2024/11/1	high
100093	RHEL 6 / 7：jasper (RHSA-2017:1208)	Nessus	Red Hat Local Security Checks	2017/5/10	2025/3/20	high
100174	CentOS 6 / 7 : jasper (CESA-2017:1208)	Nessus	CentOS Local Security Checks	2017/5/16	2021/1/4	high
100294	Ubuntu 14.04 LTS / 16.04 LTS：JasPer 漏洞 (USN-3295-1)	Nessus	Ubuntu Local Security Checks	2017/5/19	2024/8/27	high
97090	Debian DSA-3785-1：jasper - 安全更新	Nessus	Debian Local Security Checks	2017/2/10	2021/1/11	high
100120	Scientific Linux Security Update : jasper on SL6.x, SL7.x i386/x86_64 (20170509)	Nessus	Scientific Linux Local Security Checks	2017/5/11	2021/1/14	high
100812	EulerOS 2.0 SP2 : jasper (EulerOS-SA-2017-1095)	Nessus	Huawei Local Security Checks	2017/6/16	2021/1/6	high
101464	Virtuozzo 6 : jasper / jasper-devel / jasper-libs / jasper-utils (VZLSA-2017-1208)	Nessus	Virtuozzo Local Security Checks	2017/7/13	2021/1/4	high
94728	SUSE SLED12 / SLES12 Security Update : jasper (SUSE-SU-2016:2775-1)	Nessus	SuSE Local Security Checks	2016/11/11	2021/1/6	high
94662	Fedora 24 : jasper (2016-e0f0d48142)	Nessus	Fedora Local Security Checks	2016/11/10	2025/8/29	high
94689	Fedora 23 : jasper (2016-6c789ba91d)	Nessus	Fedora Local Security Checks	2016/11/11	2025/8/29	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high