セキュリティ修正プログラム:

JasPerがJPEG 2000画像ファイルをデコードする方法に、複数の欠陥が見つかりました。特別に細工されたファイルにより、JasPerを使用しているアプリケーションをクラッシュさせたり、任意のコードが実行されたりする可能性があります。（CVE-2016-8654、CVE-2016-9560、CVE-2016-10249、CVE-2015-5203、CVE-2015-5221、CVE-2016-1577、CVE-2016-8690、CVE-2016-8693、CVE-2016-8884、CVE-2016-8885、CVE-2016-9262、CVE-2016-9591）

JasPerがJPEG 2000画像ファイルをデコードする方法に、複数の欠陥が見つかりました。特別に細工されたファイルにより、JasPerを使用するアプリケーションがクラッシュする可能性があります。（CVE-2016-1867、CVE-2016-2089、CVE-2016-2116、CVE-2016-8691、CVE-2016-8692、CVE-2016-8883、CVE-2016-9387、CVE-2016-9388、CVE-2016-9389、CVE-2016-9390、CVE-2016-9391、CVE-2016-9392、CVE-2016-9393、CVE-2016-9394、CVE-2016-9583、CVE-2016-9600、CVE-2016-10248、CVE-2016-10251）

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.900.10 以前の JasPer の jas_stream.c における mem_close 関数の二重解放の脆弱性により、リモートの攻撃者が、imginfo コマンドに対する細工された BMP 画像を介して、サービス拒否（クラッシュ）を引き起こしたり、任意のコードを実行したりする可能性があります。 （CVE-2016-8693）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

この更新には、CVE-2016-8883、CVE-2016-8882、CVE-2016-8881、CVE-2016-8880、CVE-2016-8884、CVE-2016-8885、CVE-2016-8887、CVE-2016-8886のセキュリティ修正が含まれています。

----

jasperの新しいバージョンが利用可能です（jasper-1.900.13）。CVE-2016-8690、CVE-2016-8691、CVE-2016-8692、CVE-2016-8693 に対するセキュリティ修正。

----

jasperの新しいバージョンが利用可能です（1.900.3）

----

以下のためのセキュリティ修正 CVE-2016-2089

----

jasperの新しいバージョンが利用可能です。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このバージョン 1.900.14 への jasperの更新プログラムでは、いくつかの問題が修正されます。これらのセキュリティの問題が修正されました：

  - CVE-2016-8887： jp2_colr_destroy（jp2_cod.c）でのNULLポインターデリファレンス（bsc#1006836）

  - CVE-2016-8886：jas_malloc（jas_malloc.c）でのメモリ割り当ての失敗（bsc#1006599）

  - CVE-2016-8884、CVE-2016-8885：bmp_getdataでの2つのNULLポインターデリファレンス（CVE-2016-8690の不完全な修正）（bsc#1007009）

  - CVE-2016-8883：jpc_dec_tiledecode()でのアサート（bsc#1006598）

  - CVE-2016-8882：jpc_pi_destroyでのセグメンテーション違反/NULLポインターアクセス（bsc#1006597）

  - CVE-2016-8881：jpc_getuint16()でのヒープオーバーフロー（bsc#1006593）

  - CVE-2016-8880：jpc_dec_cp_setfromcox()でのヒープオーバーフロー（bsc#1006591）

  - CVE-2016-8693 mem_closeでの二重解放の脆弱性（bsc#1005242）

  - CVE-2016-8691、CVE-2016-8692：jpc_dec_process_sizでのゼロ除算（bsc#1005090）

  - CVE-2016-8690：細工されたBMP画像によって引き起こされるbmp_getdataでのNULLポインターデリファレンス（bsc#1005084）

  - CVE-2016-2116：JasPerのjas_iccprof_createfrombuf関数でのメモリリークにより、リモート攻撃者が function in  allowed remote attackers to cause a denial of service (memory consumption) via a crafted ICC color profile in a JPEG 2000 image file (bsc#968373)

  - CVE-2016-2089：JasPer の jas_matrix_clip() 関数での無効な読み取り（bsc#963983）

  - CVE-2016-1867：JasPer'のjpc_pi_nextcprl()関数での領域外読み取り（bsc#961886）

  - CVE-2015-5221：Jasper JPEG-200におけるのuse-after-free（および二重解放）（bsc#942553）。

  - CVE-2015-5203：JasPer JPEG-2000実装における二重解放の破損（bsc#941919）

  - CVE-2008-3522：JasPerのlibjasper/base/jas_stream.cにあるjas_stream_printf関数でのバッファオーバーフローにより、コンテキスト依存の攻撃者が、mif_hdr_put関数およびvsprintfの使用に関連するベクトルを通じて、未知の影響を与えることができる可能性があります（bsc#392410）

  - jasper: jp2_colr_destroy（jp2_cod.c）でのNULLポインターでリファレンス（CVE-2016-8887の不完全な修正）（bsc#1006839）その他の変更の説明については、変更ログを参照してください。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

According to the versions of the jasper package installed, the EulerOS installation on the remote host is affected by the following vulnerabilities :

  - Multiple flaws were found in the way JasPer decoded     JPEG 2000 image files. A specially crafted file could     cause an application using JasPer to crash or,     possibly, execute arbitrary code. (CVE-2016-8654,     CVE-2016-9560, CVE-2016-10249, CVE-2015-5203,     CVE-2015-5221, CVE-2016-1577, CVE-2016-8690,     CVE-2016-8693, CVE-2016-8884, CVE-2016-8885,     CVE-2016-9262, CVE-2016-9591)

  - Multiple flaws were found in the way JasPer decoded     JPEG 2000 image files. A specially crafted file could     cause an application using JasPer to crash.
    (CVE-2016-1867, CVE-2016-2089, CVE-2016-2116,     CVE-2016-8691, CVE-2016-8692, CVE-2016-8883,     CVE-2016-9387, CVE-2016-9388, CVE-2016-9389,     CVE-2016-9390, CVE-2016-9391, CVE-2016-9392,     CVE-2016-9393, CVE-2016-9394, CVE-2016-9583,     CVE-2016-9600, CVE-2016-10248, CVE-2016-10251)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Security Fix(es) :

Multiple flaws were found in the way JasPer decoded JPEG 2000 image files. A specially crafted file could cause an application using JasPer to crash or, possibly, execute arbitrary code. (CVE-2016-8654, CVE-2016-9560, CVE-2016-10249, CVE-2015-5203, CVE-2015-5221, CVE-2016-1577, CVE-2016-8690, CVE-2016-8693, CVE-2016-8884, CVE-2016-8885, CVE-2016-9262, CVE-2016-9591)

Multiple flaws were found in the way JasPer decoded JPEG 2000 image files. A specially crafted file could cause an application using JasPer to crash. (CVE-2016-1867, CVE-2016-2089, CVE-2016-2116, CVE-2016-8691, CVE-2016-8692, CVE-2016-8883, CVE-2016-9387, CVE-2016-9388, CVE-2016-9389, CVE-2016-9390, CVE-2016-9391, CVE-2016-9392, CVE-2016-9393, CVE-2016-9394, CVE-2016-9583, CVE-2016-9600, CVE-2016-10248, CVE-2016-10251)

An update for jasper is now available for Red Hat Enterprise Linux 6 and Red Hat Enterprise Linux 7.

Red Hat Product Security has rated this update as having a security impact of Important. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

JasPer is an implementation of Part 1 of the JPEG 2000 image compression standard.

Security Fix(es) :

Multiple flaws were found in the way JasPer decoded JPEG 2000 image files. A specially crafted file could cause an application using JasPer to crash or, possibly, execute arbitrary code. (CVE-2016-8654, CVE-2016-9560, CVE-2016-10249, CVE-2015-5203, CVE-2015-5221, CVE-2016-1577, CVE-2016-8690, CVE-2016-8693, CVE-2016-8884, CVE-2016-8885, CVE-2016-9262, CVE-2016-9591)

Multiple flaws were found in the way JasPer decoded JPEG 2000 image files. A specially crafted file could cause an application using JasPer to crash. (CVE-2016-1867, CVE-2016-2089, CVE-2016-2116, CVE-2016-8691, CVE-2016-8692, CVE-2016-8883, CVE-2016-9387, CVE-2016-9388, CVE-2016-9389, CVE-2016-9390, CVE-2016-9391, CVE-2016-9392, CVE-2016-9393, CVE-2016-9394, CVE-2016-9583, CVE-2016-9600, CVE-2016-10248, CVE-2016-10251)

Red Hat would like to thank Liu Bingchang (IIE) for reporting CVE-2016-8654, CVE-2016-9583, CVE-2016-9591, and CVE-2016-9600;
Gustavo Grieco for reporting CVE-2015-5203; and Josselin Feist for reporting CVE-2015-5221.

Note that Tenable Network Security has attempted to extract the preceding description block directly from the corresponding Red Hat security advisory. Virtuozzo provides no description for VZLSA advisories. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Double free vulnerability in the mem_close function in jas_stream.c in JasPer before 1.900.10 allows     remote attackers to cause a denial of service (crash) or possibly execute arbitrary code via a crafted BMP     image to the imginfo command. (CVE-2016-8693)

Note that Nessus relies on the presence of the package as reported by the vendor.

This update contains security fix for CVE-2016-8883, CVE-2016-8882, CVE-2016-8881, CVE-2016-8880, CVE-2016-8884, CVE-2016-8885, CVE-2016-8887, CVE-2016-8886.

----

New version of jasper is available (jasper-1.900.13). Security fix for CVE-2016-8690, CVE-2016-8691, CVE-2016-8692, CVE-2016-8693.

----

New version of jasper is available (1.900.3)

----

Security fix for CVE-2016-2089

----

New version of jasper is available.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for jasper to version 1.900.14 fixes several issues. These security issues were fixed :

  - CVE-2016-8887: NULL pointer dereference in     jp2_colr_destroy (jp2_cod.c) (bsc#1006836)

  - CVE-2016-8886: memory allocation failure in jas_malloc     (jas_malloc.c) (bsc#1006599)

  - CVE-2016-8884,CVE-2016-8885: two NULL pointer     dereferences in bmp_getdata (incomplete fix for     CVE-2016-8690) (bsc#1007009)

  - CVE-2016-8883: assert in jpc_dec_tiledecode()     (bsc#1006598)

  - CVE-2016-8882: segfault / NULL pointer access in     jpc_pi_destroy (bsc#1006597)

  - CVE-2016-8881: Heap overflow in jpc_getuint16()     (bsc#1006593)

  - CVE-2016-8880: Heap overflow in jpc_dec_cp_setfromcox()     (bsc#1006591)

  - CVE-2016-8693 Double free vulnerability in mem_close     (bsc#1005242)

  - CVE-2016-8691, CVE-2016-8692: Divide by zero in     jpc_dec_process_siz (bsc#1005090)

  - CVE-2016-8690: NULL pointer dereference in bmp_getdata     triggered by crafted BMP image (bsc#1005084)

  - CVE-2016-2116: Memory leak in the     jas_iccprof_createfrombuf function in JasPer allowed     remote attackers to cause a denial of service (memory     consumption) via a crafted ICC color profile in a JPEG     2000 image file (bsc#968373)

  - CVE-2016-2089: invalid read in the JasPer's     jas_matrix_clip() function (bsc#963983)

  - CVE-2016-1867: Out-of-bounds Read in the JasPer's     jpc_pi_nextcprl() function (bsc#961886)

  - CVE-2015-5221: Use-after-free (and double-free) in     Jasper JPEG-200 (bsc#942553).

  - CVE-2015-5203: Double free corruption in JasPer     JPEG-2000 implementation (bsc#941919)

  - CVE-2008-3522: Buffer overflow in the jas_stream_printf     function in libjasper/base/jas_stream.c in JasPer might     have allowed context-dependent attackers to have an     unknown impact via vectors related to the mif_hdr_put     function and use of vsprintf (bsc#392410)

  - jasper: NULL pointer dereference in jp2_colr_destroy     (jp2_cod.c) (incomplete fix for CVE-2016-8887)     (bsc#1006839) For additional change description please     have a look at the changelog.

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

ID	名稱	產品	系列	已發布	已更新	嚴重性
100120	Scientific Linux セキュリティ更新: SL6.x､SL7.x i386/x86_64のjasper（20170509）	Nessus	Scientific Linux Local Security Checks	2017/5/11	2021/1/14	high
220004	Linux Distros のパッチ未適用の脆弱性: CVE-2016-8693	Nessus	Misc.	2025/3/4	2025/3/4	high
94662	Fedora 24：jasper（2016-e0f0d48142）	Nessus	Fedora Local Security Checks	2016/11/10	2021/1/11	high
94689	Fedora 23：jasper（2016-6c789ba91d）	Nessus	Fedora Local Security Checks	2016/11/11	2021/1/11	high
94728	SUSE SLED12 / SLES12セキュリティ更新プログラム：jasper（SUSE-SU-2016:2775-1）	Nessus	SuSE Local Security Checks	2016/11/11	2021/1/6	high
100812	EulerOS 2.0 SP2 : jasper (EulerOS-SA-2017-1095)	Nessus	Huawei Local Security Checks	2017/6/16	2021/1/6	high
100120	Scientific Linux Security Update : jasper on SL6.x, SL7.x i386/x86_64 (20170509)	Nessus	Scientific Linux Local Security Checks	2017/5/11	2021/1/14	high
101464	Virtuozzo 6 : jasper / jasper-devel / jasper-libs / jasper-utils (VZLSA-2017-1208)	Nessus	Virtuozzo Local Security Checks	2017/7/13	2021/1/4	high
220004	Linux Distros Unpatched Vulnerability : CVE-2016-8693	Nessus	Misc.	2025/3/4	2025/3/4	high
94662	Fedora 24 : jasper (2016-e0f0d48142)	Nessus	Fedora Local Security Checks	2016/11/10	2021/1/11	high
94689	Fedora 23 : jasper (2016-6c789ba91d)	Nessus	Fedora Local Security Checks	2016/11/11	2021/1/11	high
94728	SUSE SLED12 / SLES12 Security Update : jasper (SUSE-SU-2016:2775-1)	Nessus	SuSE Local Security Checks	2016/11/11	2021/1/6	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high