This update for qpdf fixes the following issues :

qpdf was updated to 7.1.1.

Security issues fixed :

CVE-2017-11627: A stack-consumption vulnerability which allows attackers to cause DoS (bsc#1050577).

CVE-2017-11625: A stack-consumption vulnerability which allows attackers to cause DoS (bsc#1050579).

CVE-2017-11626: A stack-consumption vulnerability which allows attackers to cause DoS (bsc#1050578).

CVE-2017-11624: A stack-consumption vulnerability which allows attackers to cause DoS (bsc#1050581).

CVE-2017-12595: Stack overflow when processing deeply nested arrays and dictionaries (bsc#1055960).

CVE-2017-9209: Remote attackers can cause a denial of service (infinite recursion and stack consumption) via a crafted PDF document (bsc#1040312).

CVE-2017-9210: Remote attackers can cause a denial of service (infinite recursion and stack consumption) via a crafted PDF document (bsc#1040313).

CVE-2017-9208: Remote attackers can cause a denial of service (infinite recursion and stack consumption) via a crafted PDF document (bsc#1040311).

  - Check release notes for detailed bug fixes.

  - http://qpdf.sourceforge.net/files/qpdf-manual.html#ref.release-notes

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

このqpdfの更新では、次の問題を修正します：

qpdfは7.1.1に更新しました。

修正されたセキュリティ問題：

CVE-2017-11627：スタック消費の脆弱性により、攻撃者がDoSを引き起こすことができます（bsc#1050577）。

CVE-2017-11625：スタック消費の脆弱性により、攻撃者がDoSを引き起こすことができます（bsc#1050579）。

CVE-2017-11626：スタック消費の脆弱性により、攻撃者がDoSを引き起こすことができます（bsc#1050578）。

CVE-2017-11624：スタック消費の脆弱性により、攻撃者がDoSを引き起こすことができます（bsc#1050581）。

CVE-2017-12595：深くネスト化した配列と辞書を処理する際のスタックオーバーフロー（bsc#1055960）。

CVE-2017-9209：リモート攻撃者が、細工されたPDFドキュメントを介してサービス拒否（無限再帰およびスタック消費）を引き起こす可能性があります（bsc#1040312）。

CVE-2017-9210：リモート攻撃者が、細工されたPDFドキュメントを介してサービス拒否（無限再帰およびスタック消費）を引き起こす可能性があります（bsc#1040313）。

CVE-2017-9208：リモート攻撃者が、細工されたPDFドキュメントを介してサービス拒否（無限再帰およびスタック消費）を引き起こす可能性があります（bsc#1040311）。

  - 詳細なバグ修正については、リリースノートをチェックしてください。

  - http://qpdf.sourceforge.net/files/qpdf-manual.html#ref.release-notes

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

QPDFが、特定の不正な形式のファイルを不適切に処理することが判明しました。リモートの攻撃者がこの問題を悪用してQPDFをクラッシュさせ、サービス拒否を引き起こしたり、任意のコードを実行する可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

The remote Ubuntu 14.04 LTS / 16.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-3638-1 advisory.

    It was discovered that QPDF incorrectly handled certain malformed files. A remote attacker could use this     issue to cause QPDF to crash, resulting in a denial of service, or possibly execute arbitrary code.

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 7 host has one or more packages installed that are affected by multiple vulnerabilities that have been acknowledged by the vendor but will not be patched.

  - qpdf: stack exhaustion in QPDFObjectHandle and QPDF_Dictionary classes in libqpdf.a (CVE-2018-9918)

  - An issue was discovered in QPDF before 7.0.0. Endless recursion causes stack exhaustion in     QPDFTokenizer::resolveLiteral() in QPDFTokenizer.cc, related to the QPDF::resolve function in QPDF.cc.
    (CVE-2015-9252)

  - A stack-consumption vulnerability was found in libqpdf in QPDF 6.0.0, which allows attackers to cause a     denial of service via a crafted file, related to the QPDFTokenizer::resolveLiteral function in     QPDFTokenizer.cc after two consecutive calls to QPDFObjectHandle::parseInternal, aka an infinite loop.
    (CVE-2017-11624)

Note that Nessus has not tested for these issues but has instead relied on the package manager's report that the package is installed.

據發現，QPDF 未正確處理某些格式錯誤的檔案。遠端攻擊者可利用此問題造成 QPDF 損毀，進而導致拒絕服務，或可能執行任意程式碼。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

发现 QPDF 未能正确处理某些畸形的文件。远程攻击者可以利用此问题导致 QPDF 崩溃，从而导致拒绝服务或执行任意代码。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

According to the versions of the qpdf package installed, the EulerOS installation on the remote host is affected by the following vulnerabilities :

  - libqpdf.a in QPDF 6.0.0 allows remote attackers to     cause a denial of service (infinite recursion and stack     consumption) via a crafted PDF document, related to     QPDFObjectHandle::parseInternal, aka     qpdf-infiniteloop2.(CVE-2017-9209)

  - libqpdf.a in QPDF 6.0.0 allows remote attackers to     cause a denial of service (infinite recursion and stack     consumption) via a crafted PDF document, related to     releaseResolved functions, aka     qpdf-infiniteloop1.(CVE-2017-9208)

  - libqpdf.a in QPDF 6.0.0 allows remote attackers to     cause a denial of service (infinite recursion and stack     consumption) via a crafted PDF document, related to     unparse functions, aka     qpdf-infiniteloop3.(CVE-2017-9210)

  - The tokenizer in QPDF 6.0.0 and 7.0.b1 is recursive for     arrays and dictionaries, which allows remote attackers     to cause a denial of service (stack consumption and     segmentation fault) or possibly have unspecified other     impact via a PDF document with a deep data structure,     as demonstrated by a crash in     QPDFObjectHandle::parseInternal in     libqpdf/QPDFObjectHandle.cc.(CVE-2017-12595)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This version update for qpdf to 7.1.1 fixes the following issues :

  - Update to version 7.1.1

  - Fix one linearization bug affecting files whose first     /ID component is not 16 bytes long

  - Update to version 7.1.0

  - Allow raw encryption key to be specified in libary and     command line with the QPDF::setPasswordIsHexKey method     and

    --password-is-hex-key option. Allow encryption key to be     displayed with --show-encryption-key option. See     https://blog.didierstevens.com/2017/12/28/cracking-encry     pted-pdfs-part-3/ for a discussion of using this for     cracking encrypted PDFs. I hope that a future release of     qpdf will include some additional recovery options that     may also make use of this capability.

  - Fix lexical error: the PDF specification allows floating     point numbers to end with '.'

  - Fix link order in the build to avoid conflicts when     building from source while an older version of qpdf is     installed

  - Add support for TIFF predictor for LZW and Flate     streams. Now

  - Clarify documentation around options that control     parsing but not output creation. Two options:
    --suppress-recovery and

    --ignore-xref-streams, were documented in the 'Advanced     Transformation Options' section of the manual and --help     output even though they are not related to output. These     are now described in a separate section called 'Advanced     Parsing Options.'

  - Implement remaining PNG filters for decode. Prior     versions could decode only the 'up' filter. Now all PNG     filters (sub, up, average, Paeth, optimal) are supported     for decoding. The implementation of the remaining PNG     filters changed the interface to the private     Pl_PNGFilter class, but this class's header file is not     in the installation, and there is no public interface to     the class. Within the library, the class is never     allocated on the stack; it is only ever dynamically     allocated. As such, this does not actually break binary     compatibility of the library. all predictor functions     are supported

  - Update to version 7.0.0

  - License is now Apache-2.0

  - Add new libjpeg8-devel dependency

  - Improve the error message that is issued when QPDFWriter     encounters a stream that can't be decoded. In     particular, mention that the stream will be copied     without filtering to avoid data loss.

  - Add new methods to the C API to correspond to new     additions to QPDFWriter :

    &#9;- qpdf_set_compress_streams

    &#9;- qpdf_set_decode_level

    &#9;- qpdf_set_preserve_unreferenced_objects

    &#9;- qpdf_set_newline_before_endstream

  - Add support for writing PCLm files

  - QPDF now supports reading and writing streams encoded     with JPEG or RunLength encoding. Library API     enhancements and command-line options have been added to     control this behavior. See command-line options
    --compress-streams and --decode-level and methods     QPDFWriter::setCompressStreams and     QPDFWriter::setDecodeLevel.

  - Page rotation is now supported and accessible from both     the library and the command line.

  - Fixes CVE-2017-12595 boo#1055960, CVE-2017-9208     boo#1040311 CVE-2017-9209 boo#1040312, CVE-2017-9210     boo#1040313, CVE-2017-11627 boo#1050577, CVE-2017-11626     boo#1050578, CVE-2017-11625 boo#1050579, CVE-2017-11624     boo#1050581

  - Update to version 6.0.0

  - Bump shared library version since 5.2.0 broke ABI.

  - Update to version 5.2.0

  - Support for deterministic /IDs for non-encrypted files.
    This is off by default.

  - Handle more invalid xref tables

According to the versions of the qpdf package installed, the EulerOS installation on the remote host is affected by the following vulnerabilities :

  - libqpdf.a in QPDF 6.0.0 allows remote attackers to     cause a denial of service (infinite recursion and stack     consumption) via a crafted PDF document, related to     releaseResolved functions, aka     qpdf-infiniteloop1.(CVE-2017-9208)

  - libqpdf.a in QPDF 6.0.0 allows remote attackers to     cause a denial of service (infinite recursion and stack     consumption) via a crafted PDF document, related to     QPDFObjectHandle::parseInternal, aka     qpdf-infiniteloop2.(CVE-2017-9209)

  - libqpdf.a in QPDF 6.0.0 allows remote attackers to     cause a denial of service (infinite recursion and stack     consumption) via a crafted PDF document, related to     unparse functions, aka     qpdf-infiniteloop3.(CVE-2017-9210)

  - The tokenizer in QPDF 6.0.0 and 7.0.b1 is recursive for     arrays and dictionaries, which allows remote attackers     to cause a denial of service (stack consumption and     segmentation fault) or possibly have unspecified other     impact via a PDF document with a deep data structure,     as demonstrated by a crash in     QPDFObjectHandle::parseInternal in     libqpdf/QPDFObjectHandle.cc.(CVE-2017-12595)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Rebase to qpdf-7.1.1 because of security fixes for CVE-2018-9918, CVE-2017-11627, CVE-2017-12595.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

このqpdfのバージョン7.1.1への更新では、以下の問題を修正します：

  - バージョン 7.1.1 に更新してください

  - 最初の/IDコンポーネントが16バイト長でないファイルに影響を与える1つの線形化バグを修正します

  - バージョン 7.1.0 に更新してください

  QPDF::setPasswordIsHexKeyメソッドを含むライブラリおよびコマンドで指定されるraw暗号化鍵を許可し、さらに

    --password-is-hex-key オプション。--show-encryption-keyオプションを使用して暗号化鍵の表示を許可します。暗号化されたPDFを解読するためにこれを使用することの説明については、https://blog.didierstevens.com/2017/12/28/cracking-encrypted-pdfs-part-3/を参照してください。qpdfの今後のリリースでは、この機能を利用する可能性がある一部の追加リカバリオプションが含まれることが期待されます。

  - 語彙のエラーを修正します：PDF仕様では、浮動小数点数が「.」で終わることが許可されています

  - qpdfの古いバージョンがインストールされていて、ソースから構築する場合に競合を回避するため、ビルド内のリンク順序を修正します

  - LZWおよびFlateストリーム用のTIFF予測子のサポートを追加します。現在

  - 解析を制御するものの出力作成を制御しないオプションに関するドキュメントを明確化します。2つのオプション：
    --suppress-recovery および

    --ignore-xref-streamsは、出力に関連していないものの 、マニュアルおよび--help出力の「Advanced Transformation Options（詳細な変換オプション）」セクションで文書化されています。これらは、「Advanced Parsing Options（詳細な解析オプション）」と呼ばれる別のセクションで説明されています。

  - デコードのために残りのPNGフィルターを実装します。以前のバージョンでは、「up」フィルターのみをデコードできました。現在、すべてのPNGフィルター（sub、up、avem、vg、Paeth、optimal）がデコードにサポートされています。残りのPNGフィルターの実装により、インターフェイスがプライベートなPl_PNGFilterクラスに変更されましたが、このクラスのヘッダーファイルはインストールされておらず、クラスにパブリックインターフェイスはありません。ライブラリ内では、クラスはスタックに割り当てられることはありません。これは動的にのみ割り当てられます。そのため、実際にはライブラリのバイナリ互換性は遮断されません。すべての予測関数がサポートされます

  - バージョン 7.0.0 に更新してください

  - ライセンスは現在Apache-2.0です

  - 新しいlibjpeg8-devel依存関係を追加します

  - QPDFWriterがデコードできないストリームに遭遇した場合に発行されるエラーメッセージを改善します。特に、データ損失を回避するために、ストリームはフィルタリングせずにコピーされることに言及します。

  - QPDFWriterへの新たな追加に対応するために、C APIに新しいメソッドを追加します：

    	- qpdf_set_compress_streams

    	- qpdf_set_decode_level

    	- qpdf_set_preserve_unreferenced_objects

    	- qpdf_set_newline_before_endstream

  - PCLmファイルを書き込むためのサポートを追加します

  - QPDFは、JPEGまたはRunLengthエンコーディングを使用してエンコードされたストリームの読み書きをサポートするようになりました。この動作を制御するために、ライブラリAPI強化およびコマンドラインオプションが追加されました。コマンドラインオプションを参照してください
    --compress-streamsおよび--decode-levelおよびメソッドQPDFWriter：：setCompressStreamsおよびQPDFWriter：：setDecodeLevel。

  - ページの回転がサポートされるようになり、ライブラリとコマンドラインの両方からアクセスできます。

  - CVE-2017-12595 boo#1055960、CVE-2017-9208boo#1040311 CVE-2017-9209 boo#1040312、CVE-2017-9210boo#1040313、CVE-2017-11627boo#1050577、CVE-2017-11626boo#1050578、CVE-2017-11625boo#1050579、CVE-2017-11624boo#1050581を修正します

  - バージョン 6.0.0 に更新してください

  - 5.2.0がABIを中断させて以降の共有ライブラリのバージョンをバンプします。

  - バージョン 5.2.0 に更新してください

  - 暗号化されていないファイルの決定性/IDをサポートします。
    これはデフォルトではオフになっています。

  - より多くの無効な相互参照テーブルを処理します

CVE-2018-9918、CVE-2017-11627、CVE-2017-12595のセキュリティ修正が原因のqpdf-7.1.1へのリベース。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名稱	產品	系列	已發布	已更新	嚴重性
118301	SUSE SLES12 Security Update : qpdf (SUSE-SU-2018:3066-2)	Nessus	SuSE Local Security Checks	2018/10/22	2024/7/30	high
118301	SUSE SLES12セキュリティ更新プログラム：qpdf（SUSE-SU-2018:3066-2）	Nessus	SuSE Local Security Checks	2018/10/22	2024/7/30	high
109600	Ubuntu 14.04 LTS / 16.04 LTS : QPDFの脆弱性 (USN-3638-1)	Nessus	Ubuntu Local Security Checks	2018/5/8	2024/8/27	high
109600	Ubuntu 14.04 LTS / 16.04 LTS : QPDF vulnerabilities (USN-3638-1)	Nessus	Ubuntu Local Security Checks	2018/5/8	2024/8/27	high
198843	RHEL 7 : qpdf (Unpatched Vulnerability)	Nessus	Red Hat Local Security Checks	2024/6/3	2024/6/3	high
109600	Ubuntu 14.04 LTS / 16.04 LTS：QPDF 弱點 (USN-3638-1)	Nessus	Ubuntu Local Security Checks	2018/5/8	2024/8/27	high
109600	Ubuntu 14.04 LTS / 16.04 LTS：QPDF 漏洞 (USN-3638-1)	Nessus	Ubuntu Local Security Checks	2018/5/8	2024/8/27	high
149196	EulerOS 2.0 SP3 : qpdf (EulerOS-SA-2021-1843)	Nessus	Huawei Local Security Checks	2021/4/30	2024/1/2	high
106894	openSUSE Security Update : qpdf (openSUSE-2018-176)	Nessus	SuSE Local Security Checks	2018/2/20	2021/1/19	high
117993	SUSE SLED12 / SLES12 Security Update : qpdf (SUSE-SU-2018:3066-1)	Nessus	SuSE Local Security Checks	2018/10/9	2024/7/31	high
148054	EulerOS 2.0 SP5 : qpdf (EulerOS-SA-2021-1703)	Nessus	Huawei Local Security Checks	2021/3/24	2024/1/8	high
109436	Fedora 27 : cups-filters / qpdf (2018-f2e1c09437)	Nessus	Fedora Local Security Checks	2018/5/1	2021/1/6	high
106894	openSUSEセキュリティ更新プログラム：qpdf（openSUSE-2018-176）	Nessus	SuSE Local Security Checks	2018/2/20	2021/1/19	high
117993	SUSE SLED12 / SLES12セキュリティ更新プログラム：qpdf（SUSE-SU-2018:3066-1）	Nessus	SuSE Local Security Checks	2018/10/9	2024/7/31	high
109436	Fedora 27：cups-filters / qpdf（2018-f2e1c09437）	Nessus	Fedora Local Security Checks	2018/5/1	2021/1/6	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high