現已提供適用於 Red Hat Enterprise Linux 7 的更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。X11 (Xorg) 程式庫提供在所有 X Window 應用程式中使用的程式庫常式。下列套件已升級至更新的上游版本：libX11 (1.6.5)、libXaw (1.0.13)、libXdmcp (1.1.2)、libXfixes (5.0.3)、libXfont (1.5.2)、libXi (1.7.9)、libXpm (3.5.12)、libXrandr (1.5.1)、libXrender (0.9.10)、libXt (1.1.5)、libXtst (1.2.3)、libXv (1.0.11)、libXvMC (1.0.10)、libXxf86vm (1.1.4)、libdrm (2.4.74)、libepoxy (1.3.1)、libevdev (1.5.6)、libfontenc (1.1.3)、libvdpau (1.1.1)、libwacom (0.24)、libxcb (1.12)、libxkbfile (1.0.9)、mesa (17.0.1)、mesa-private-llvm (3.9.1)、xcb-proto (1.12)、xkeyboard-config (2.20)、xorg-x11-proto-devel (7.7)。(BZ#1401667、BZ#1401668、BZ#1401669、BZ#1401670、BZ#1401671、BZ#1401672、BZ#1401673、BZ#1401675、BZ# 1401676、BZ#1401677、BZ#1401678、BZ#1401679、BZ#1401680、BZ#1401681、BZ# 1401682、BZ#1401683、BZ#1401685、BZ#1401690、BZ#1401752、BZ#1401753、BZ# 1401754、BZ#1402560、BZ#1410477、BZ#1411390、BZ#1411392、BZ#1411393、BZ# 1411452、BZ#1420224) 安全性修正：* 在 libXpm 中發現導致堆積型緩衝區溢位的整數溢位缺陷。攻擊者可利用此缺陷，透過特製的 XPM 檔案造成使用 libXpm 的應用程式損毀。(CVE-2016-10164) * 據發現，libXdmcp 使用弱的 Entropy 來產生工作階段金鑰。在使用 xdmcp 的多使用者系統上，本機攻擊者可能會使用可從處理程序清單取得的資訊來暴力破解金鑰，以便於劫持其他使用者的工作階段。(CVE-2017-2625) * 據發現，libICE 使用弱的 Entropy 來產生金鑰。本機攻擊者可能會利用此缺陷，使用可從處理程序清單取得的資訊來劫持工作階段。(CVE-2017-2626) Red Hat 感謝 Eric Sesterhenn (X41 D-Sec GmbH) 報告 CVE-2017-2625 和 CVE-2017-2626。其他變更：如需有關此發行版本的詳細變更資訊，請參閱可從〈參照〉一節連結的 Red Hat Enterprise Linux 7.4 版本資訊。

遠端主機受到 GLSA-201704-03 中所述的弱點影響 (X.Org：多個弱點) 在 X.Org 伺服器和程式庫中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。影響：本機或遠端使用者可利用這些弱點以使用者的身分附加至 X.Org 工作階段，並執行任意程式碼。因應措施：目前尚無已知的因應措施。

來自 Red Hat 安全公告 2017:1865： 現已提供適用於 Red Hat Enterprise Linux 7 的更新。 Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 X11 (Xorg) 程式庫提供在所有 X Window 應用程式中使用的程式庫常式。 下列套件已升級到更新的上游版本： libX11 (1.6.5)、libXaw (1.0.13)、libXdmcp (1.1.2)、libXfixes (5.0.3)、libXfont (1.5.2)、libXi (1.7.9)、libXpm (3.5.12)、 libXrandr (1.5.1)、libXrender (0.9.10)、libXt (1.1.5)、libXtst (1.2.3)、libXv (1.0.11)、libXvMC (1.0.10)、libXxf86vm (1.1.4 )、libdrm (2.4.74)、libepoxy (1.3.1)、libevdev (1.5.6)、libfontenc (1.1.3)、libvdpau (1.1.1)、libwacom (0.24)、libxcb (1.12) 、libxkbfile (1.0.9)、mesa (17.0.1)、mesa-private-llvm (3.9.1)、xcb-proto (1.12)、xkeyboard-config (2.20)、 xorg-x11-proto-devel (7.7)。(BZ#1401667, BZ#1401668, BZ#1401669, BZ#1401670, BZ#1401671, BZ#1401672, BZ#1401673, BZ#1401675, BZ# 1401676, BZ#1401677, BZ#1401678, BZ#1401679, BZ#1401680, BZ#1401681, BZ# 1401682, BZ#1401683, BZ#1401685, BZ#1401690, BZ#1401752, BZ#1401753 , BZ# 1401754, BZ#1402560, BZ#1410477, BZ#1411390, BZ#1411392, BZ#1411393, BZ# 1411452, BZ#1420224) 安全性修正： * 在 libXpm 中發現導致堆積型緩衝區溢位的整數溢位缺陷。攻擊者可利用此缺陷，透過特製的 XPM 檔案造成使用 libXpm 的應用程式損毀。 (CVE-2016-10164) * 據發現，libXdmcp 使用弱熵產生工作階段金鑰。在使用 xdmcp 的多使用者系統上，本機攻擊者可能會使用可從處理程序清單取得的資訊來暴力破解金鑰，以便於劫持其他使用者的工作階段。 (CVE-2017-2625) * 據發現，libICE 使用弱熵產生金鑰。 本機攻擊者可能會利用此缺陷，使用可從處理程序清單取得的資訊來劫持工作階段。(CVE-2017-2626) Red Hat 感謝 Eric Sesterhenn (X41 D-Sec GmbH) 通報 CVE-2017-2625 和 CVE-2017-2626。 其他變更： 如需有關此發行版本的詳細變更資訊，請參閱可從「參照」一節連結的 Red Hat Enterprise Linux 7.4 版本資訊。

遠端 Ubuntu 16.04 ESM/18.04 LTS 主機上安裝的多個套件受到 USN-5744-1 公告中提及的一個弱點影響。

  - 據發現，低於 1.0.9-8 版的 libICE 使用弱的 entropy 來產生金鑰。本機攻擊者可能會利用此缺陷，使用可從處理程序清單取得的資訊來劫持工作階段。
    (CVE-2017-2626)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

下列套件已升級至更新的上游版本：libX11 (1.6.5)、libXaw (1.0.13)、libXdmcp (1.1.2)、libXfixes (5.0.3)、libXfont (1.5.2)、libXi (1.7.9)、libXpm (3.5.12)、libXrandr (1.5.1)、libXrender (0.9.10)、libXt (1.1.5)、libXtst (1.2.3)、libXv (1.0.11)、libXvMC (1.0.10)、libXxf86vm (1.1.4)、libdrm (2.4.74)、libepoxy (1.3.1)、libevdev (1.5.6)、libfontenc (1.1.3)、libvdpau (1.1.1)、libwacom (0.24)、libxcb (1.12)、libxkbfile (1.0.9)、mesa (17.0.1)、mesa-private-llvm (3.9.1)、xcb-proto (1.12)、xkeyboard-config (2.20)、xorg-x11-proto-devel (7.7)。安全性修正：- 在 libXpm 中發現導致堆積型緩衝區溢位的整數溢位缺陷。攻擊者可利用此缺陷，透過特製的 XPM 檔案造成使用 libXpm 的應用程式損毀。(CVE-2016-10164) - 據發現，libXdmcp 使用弱的 Entropy 來產生工作階段金鑰。在使用 xdmcp 的多使用者系統上，本機攻擊者可能會使用可從處理程序清單取得的資訊來暴力破解金鑰，以便於劫持其他使用者的工作階段。(CVE-2017-2625) - 據發現，libICE 使用弱的 entropy 來產生金鑰。本機攻擊者可能會利用此缺陷，使用可從處理程序清單取得的資訊來劫持工作階段。(CVE-2017-2626)

據發現，libice (一款 X11 Inter-Client Exchange 程式庫) 使用弱熵來產生金鑰。

使用 libbsd 的 arc4random_buf() 應可避免此缺陷。

針對 Debian 8「Jessie」，已在 2:1.0.9-1+deb8u1 版本中修正此問題。

建議您升級 libice 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
102147	RHEL 7：X.org X11 程式庫 (RHSA-2017:1865)	Nessus	Red Hat Local Security Checks	2017/8/3	2019/10/24	critical
99276	GLSA-201704-03：X.Org：多個弱點	Nessus	Gentoo Local Security Checks	2017/4/11	2021/1/11	critical
102340	Oracle Linux 7 : X.org / X11 / libraries (ELSA-2017-1865)	Nessus	Oracle Linux Local Security Checks	2017/8/10	2021/1/14	critical
168208	Ubuntu 16.04 ESM/18.04 LTS：libICE 弱點 (USN-5744-1)	Nessus	Ubuntu Local Security Checks	2022/11/28	2023/7/10	medium
102636	Scientific Linux 安全性更新：SL7.x x86_64 上的 X.org X11 程式庫	Nessus	Scientific Linux Local Security Checks	2017/8/22	2021/1/14	critical
102740	CentOS 7：libICE / libX11 / libXaw / libXcursor / libXdmcp / libXfixes / libXfont / libXfont2 / 等等 (CESA-2017:1865)	Nessus	CentOS Local Security Checks	2017/8/25	2021/1/4	critical
131247	Debian DLA-2002-1：libice 安全性更新	Nessus	Debian Local Security Checks	2019/11/25	2024/4/10	medium

偵測

搜尋 Plugin

critical

critical

critical

medium

critical

critical

medium