リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21346-1 アドバイザリで言及されています。

    libredwg の変更:

    - スナップショットへの更新 0.14.8413
      * dwg_next_entity NULL ポインターデリファレンスを修正します [CVE-2026-15184、 boo#1271170]
      * dwg_bmpサムネイルオーバーフローチェックを修正します [CVE-2026-15181、 boo#1271169]
      * match_BLOCK_HEADER における NULL ポインターデリファレンス(SEGV)を解決 [CVE-2026-9529、 boo#1266380]
      * DXB(バイナリ DXF)サポートを追加しました:dwgwrite/dwgread/dwg2dxf は DXB 入力/出力を受け入れ、dxfwrite は DXB を受け入れます。
      * マイナーな機能:
      * R2007+ ヘッダー、クラス、オブジェクトの文字列ストリームエンコーディングを分割。
      * エンティティリンクチェーンのサイクルチェックを追加しました。
      * リリースヘルパーを追加し、CI を改善しました(ODAFileConverter QT6、xvfb-run)。
      * dwgfuzz: --versionでモードを表示します。

    - 0.14 への更新:
      * r2004(AC1018)DWG ファイルの書き込みサポート。現在、エンコーダーは、圧縮され暗号化されたセクションヘッダーおよび r2004 以降要求されていた、 LZ77圧縮されたオブジェクトデータレイアウトを生成します。
      * 大きなオブジェクトファイル(エンコード、デコード)を 2 つのオブジェクトに分割することで、コンパイル中のピークメモリ使用率が大幅に削減され、パラレルビルドの拡張性が向上します。
      * dwgadd:ハンドルフィールド(layer、ltype、style など)を、生のハンドル参照に加えて、テーブルレコード名で設定できるようになりました。
        「line.layer = FOO」のような文字列値は、解析時に dwg_find_tablehandle() によって解決されます。
      * DXB(バイナリ DXF)サポートを追加しました:dwgwrite/dwgread/dwg2dxf は DXB 入力/出力を受け入れ、dxfwrite は DXB を受け入れます。
      * R2007+ ヘッダー、クラス、オブジェクトの文字列ストリームエンコーディングを分割。
      * エンティティリンクチェーンのサイクルチェックを追加しました。GH #1226。
      * decompress_r2007 OOB 読み取りと R2004 セクション展開の回帰テストを追加しました。dwgfilter.test を追加しました。
      * リリースヘルパーを追加し、CI を改善しました(ODAFileConverter QT6、xvfb-run)。
      * dwgfuzz: --versionでモードを表示します。
      * API/ABI の変更(ソースの非互換性):
      * HEADER/2NDHEADER.is_maint の名前を maint_rel_version に変更しました。
      * PROXY_OBJECT.dwg_versions の名前を変更しました。
      * SO_VERSION を 0:14:0 に更新しました。

    - スナップショットへの更新 0.13.4.8200
      * r2004(AC1018)DWG ファイルの書き込みサポート。現在、エンコーダーは、圧縮され暗号化されたセクションヘッダーおよび r2004 以降要求されていた、 LZ77圧縮されたオブジェクトデータレイアウトを生成します。
      * 大きなオブジェクトファイル(エンコード、デコード)を 2 つのオブジェクトに分割することで、コンパイル中のピークメモリ使用率が大幅に削減され、パラレルビルドの拡張性が向上します。
      * dwgadd:ハンドルフィールド(layer、ltype、style など)を、生のハンドル参照に加えて、テーブルレコード名で設定できるようになりました。「line.layer = FOO」のような文字列値は、解析時に dwg_find_tablehandle() によって解決されます。
      * decompress_R2004_sectionバッファオーバーフローを修正します [CVE-2026-9501、 CVE-2026-9502、 CVE-2026-9529、 CVE-2026-9530、 boo#1266377、 boo#1266378、 boo#1266380、 boo#1266287]
      * dwg_next_entity NULL ポインターデリファレンスを修正します [CVE-2026-9503、 boo#1266379]
      * 破損した DWG 入力の DXF 出力の NULL ポインターデリファレンスを修正します [CVE-2026-9504、 boo#1266321]
      * decode:展開オーバーフローを修正 [CVE-2026-9605、 boo#1266365]

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote openSUSE 16 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21346-1 advisory.

    Changes in libredwg:

    - Update to snapshot 0.14.8413
      * fix dwg_next_entity NULL pointer dereference         [CVE-2026-15184, boo#1271170]
      * Fix dwg_bmp thumbnail overflow checks         [CVE-2026-15181, boo#1271169]
      * Resolve NULL pointer dereference (SEGV) in match_BLOCK_HEADER         [CVE-2026-9529, boo#1266380]
      * Added DXB (binary DXF) support: dwgwrite/dwgread/dwg2dxf accept         DXB input/output, and dxfwrite accepts DXB.
      * Minor features:
      * R2007+ split string stream encoding for Header, Classes, and         objects.
      * Added cycle checks in entity link chains.
      * Added release helpers and improved CI (ODAFileConverter QT6,         xvfb-run).
      * dwgfuzz: show mode with --version.

    - update to 0.14:
      * Write support for r2004 (AC1018) DWG files.  The encoder now         produces compressed, encrypted section headers and the         LZ77-compressed object data layout required since r2004.
      * Split large object files (encode, decode) into 2 objects,         significantly reducing peak memory usage during compilation         and enabling parallel builds to scale better.
      * dwgadd: handle fields (e.g. layer, ltype, style) can now be         set by table-record name in addition to raw handle references.
        A string value like `line.layer = FOO` is resolved via         dwg_find_tablehandle() at parse time.
      * Added DXB (binary DXF) support: dwgwrite/dwgread/dwg2dxf         accept DXB input/output, and dxfwrite accepts DXB.
      * R2007+ split string stream encoding for Header, Classes, and         objects.
      * Added cycle checks in entity link chains.  GH #1226.
      * Added regression tests for decompress_r2007 OOB reads and         R2004 section decompression.  Added dwgfilter.test.
      * Added release helpers and improved CI (ODAFileConverter QT6,         xvfb-run).
      * dwgfuzz: show mode with --version.
      * API/ABI changes (source-incompatible):
      * Renamed HEADER/2NDHEADER.is_maint to maint_rel_version.
      * Renamed PROXY_OBJECT.dwg_versions.
      * Bumped SO_VERSION to 0:14:0.

    - Update to snapshot 0.13.4.8200
      * Write support for r2004 (AC1018) DWG files. The encoder now         produces compressed, encrypted section headers and the         LZ77-compressed object data layout required since r2004.
      * Split large object files (encode, decode) into 2 objects,         significantly reducing peak memory usage during compilation and         enabling parallel builds to scale better.
      * dwgadd: handle fields (e.g. layer, ltype, style) can now be set         by table-record name in addition to raw handle references. A         string value like `line.layer = FOO` is resolved via         dwg_find_tablehandle() at parse time.
      * Fix decompress_R2004_section buffer overflow         [CVE-2026-9501, CVE-2026-9502, CVE-2026-9529, CVE-2026-9530,         boo#1266377, boo#1266378, boo#1266380, boo#1266287]
      * Fix dwg_next_entity NULL pointer dereference         [CVE-2026-9503, boo#1266379]
      * Fix NULL pointer dereferences in DXF output for corrupted DWG         input [CVE-2026-9504, boo#1266321]
      * decode: fix decompression overflow [CVE-2026-9605, boo#1266365]

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
327244	openSUSE 16 セキュリティ更新:libredwg(openSUSE-SU-2026:21346-1)	Nessus	SuSE Local Security Checks	2026/7/16	2026/7/17	medium
327244	openSUSE 16 Security Update : libredwg (openSUSE-SU-2026:21346-1)	Nessus	SuSE Local Security Checks	2026/7/16	2026/7/17	medium

偵測

搜尋 Plugin

medium

medium