PDFライブラリであるPopplerでいくつかのバッファおよび整数オーバーフローの問題が発見されました。これにより、悪意を持って細工されたファイルを介して、アプリケーションのクラッシュやその他の詳細不明な影響を引き起こす可能性があります。

Debian 7「Wheezy」では、これらの問題はバージョン0.18.4-6+deb7u2で修正されています。

お使いのpopplerパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Poppler開発者による報告: 

Popplerは、スタックベースのバッファオーバーフローの脆弱性があります。

悪用に成功すると、攻撃者は、影響を受けるアプリケーションをクラッシュさせ、サービス拒否状態を引き起こすことができます。この問題の性質上、任意のコードが実行される可能性がありますが、まだ確認されていません。

- 様々な欠陥： CVE-2017-7515 CVE-2017-9775 CVE-2017-9776 CVE-2017-9865

----

  - CVE-2017-9406 CVE-2017-9408さまざまなメモリリークの欠陥

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このpopplerの更新では、次の問題が修正されます：キャッシュサイドチャネル攻撃の軽減：

  - CVE-2017-9775: 細工されたPDFドキュメントによる、pdftocairoのGfxState.ccでのDoSスタックベースのバッファオーバーフロー（bsc#1045719）

  - CVE-2017-9776: 細工されたPDFドキュメントによる、JBIG2Stream.ccでのヒープバッファオーバーフローを引き起こす可能性があるDoS整数オーバーフロー（bsc#1045721）

  - CVE-2017-7515: pdfuniteでの無限再帰呼び出しによるスタック枯渇（bsc#1043088）

  - CVE-2017-7511: 細工されたドキュメントによるpdfuniteでのNULLポインターデリファレンス（bsc#1041783）

  - CVE-2017-9406: gmem.ccにあるgmalloc関数でのメモリリーク（bsc#1042803）

  - CVE-2017-9408: Object: : initArray関数でのメモリリーク（bsc#1042802）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

この更新により、複数のセキュリティ脆弱性が修正されます（CVE-2017-7515、 CVE-2017-9775、 CVE-2017-9776、 CVE-2017-9865）。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

popplerの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。popplerは、PDF（Portable Document Format）レンダリングライブラリで、Evinceなどのアプリケーションで使用されます。セキュリティ修正プログラム：* スタックベースのバッファオーバーフローがpopplerライブラリで見つかりました。攻撃者は、悪意のあるPDFファイルを作成し、そのファイルが開かれるときにpoppler（Evinceなど）を使用するアプリケーションをクラッシュさせたり、任意のコードを実行したりする可能性があります。（CVE-2017-9775）* ヒープベースのバッファオーバーフローにつながる整数オーバーフローがpopplerライブラリで検出されました。攻撃者は、悪意のあるPDFファイルを作成し、そのファイルが開かれるときにpoppler（Evinceなど）を使用するアプリケーションをクラッシュさせたり、任意のコードを実行したりする可能性があります。（CVE-2017-9776）

ID	名稱	產品	系列	已發布	已更新	嚴重性
102823	Debian DLA-1074-1: popplerセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2017/8/30	2021/1/11	high
102725	FreeBSD: poppler -- 複数のサービス拒否の問題（eca2d861-76f4-42ed-89d2-23a2cb396c87）	Nessus	FreeBSD Local Security Checks	2017/8/24	2021/1/4	medium
101633	Fedora 26：poppler（2017-5112220e59）	Nessus	Fedora Local Security Checks	2017/7/17	2021/1/6	high
102070	SUSE SLED12 / SLES12セキュリティ更新プログラム：poppler（SUSE-SU-2017:1999-1）	Nessus	SuSE Local Security Checks	2017/7/31	2021/1/6	high
102397	Fedora 24：mingw-poppler（2017-93868169a0）	Nessus	Fedora Local Security Checks	2017/8/11	2021/1/6	high
102884	CentOS 7：poppler（CESA-2017:2551）	Nessus	CentOS Local Security Checks	2017/9/1	2021/1/4	high

偵測

搜尋 Plugin

high

medium

high

high

high

high