據發現，OpenJPEG (JPEG 2000 圖像庫) 中存有數個弱點，可能會透過應用程式損毀或高記憶體消耗造成拒絕服務 (CVE-2013-1447)、透過堆積緩衝區溢位造成程式碼執行 (CVE-2013-6045)、資訊洩漏 (CVE-2013-6052)，或是其他似乎只會影響 OpenJPEG 1.3 的堆積緩衝區溢位 (CVE-2013-6054)。

來自 Red Hat 安全性公告 2013:1850：

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 openjpeg 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

OpenJPEG 是讀取及寫入 JPEG 2000 格式影像檔案的開放原始碼程式庫。

在 OpenJPEG 中發現多個堆積型緩衝區溢位瑕疵。攻擊者可建立特製的 OpenJPEG 影像，該檔案開啟時，可導致使用 openjpeg 的應用程式損毀，或可能利用執行該應用程式的使用者權限來執行任意程式碼。(CVE-2013-6045、CVE-2013-6054)

在 OpenJPEG 中發現多個拒絕服務瑕疵。攻擊者可建立特製的 OpenJPEG 影像，在開啟該影像時，可造成使用 openjpeg 的應用程式損毀 (CVE-2013-1447、CVE-2013-6052)

Red Hat 要感謝 Raphael Geissert 報告這些問題。

建議 OpenJPEG 使用者升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。所有使用 OpenJPEG 的執行中應用程式皆必須重新啟動，此更新才會生效。

遠端 OracleVM 系統缺少可解決重大安全性更新的必要修補程式：

  - 恢復 CVE-2016-5159 修補程式中之前的變更

  - 修復 CVE-2016-5139 修補程式中的雙重釋放

  - 修復 cio_bytein 中的記憶體洩漏和無效讀取。相關：
    #1419775

  - 向 CVE-2016-5159 的修補程式新增兩項以上配置檢查，相關：#1419775

  - 新增針對 CVE-2016-5139、CVE-2016-5158、(CVE-2016-5159) 的修補程式，相關：#1419775

  - 修復修補程式名稱：CVE-2016-9675 => (CVE-2016-7163)，相關：#1419775

  - 新增 (CVE-2016-9675) 的修補程式

  - 修復 Coverity 問題，解決：#1419775

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 openjpeg 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

OpenJPEG 是讀取及寫入 JPEG 2000 格式影像檔案的開放原始碼程式庫。

在 OpenJPEG 中發現多個堆積型緩衝區溢位瑕疵。攻擊者可建立特製的 OpenJPEG 影像，該檔案開啟時，可導致使用 openjpeg 的應用程式損毀，或可能利用執行該應用程式的使用者權限來執行任意程式碼。(CVE-2013-6045、CVE-2013-6054)

在 OpenJPEG 中發現多個拒絕服務瑕疵。攻擊者可建立特製的 OpenJPEG 影像，在開啟該影像時，可造成使用 openjpeg 的應用程式損毀 (CVE-2013-1447、CVE-2013-6052)

Red Hat 要感謝 Raphael Geissert 報告這些問題。

建議 OpenJPEG 使用者升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。所有使用 OpenJPEG 的執行中應用程式皆必須重新啟動，此更新才會生效。

在 OpenJPEG 中發現多個堆積型緩衝區溢位瑕疵。攻擊者可建立特製的 OpenJPEG 影像，該檔案開啟時，可導致使用 openjpeg 的應用程式損毀，或可能利用執行該應用程式的使用者權限來執行任意程式碼。(CVE-2013-6045、CVE-2013-6054)

在 OpenJPEG 中發現多個拒絕服務瑕疵。攻擊者可建立特製的 OpenJPEG 影像，在開啟該影像時，可造成使用 openjpeg 的應用程式損毀 (CVE-2013-1447、CVE-2013-6052)

所有使用 OpenJPEG 的執行中應用程式皆必須重新啟動，此更新才會生效。

Openjpeg 版本資訊報告：

CVE-2012-3535 和 CVE-2012-3358 已於 1.5.1 版本中修正。

1.5.2 版已修正 CVE-2013-4289、CVE-2013-4290、CVE-2013-1447、CVE-2013-6045、CVE-2013-6052、CVE-2013-6054、CVE-2013-6053、CVE-2013-6887。

在 OpenJPEG 中發現多個堆積型緩衝區溢位瑕疵。攻擊者可建立特別構建的 OpenJPEG 影像，此影響在當開啟時可造成使用 openjpeg 的應用程式損毀，或可能利用執行該應用程式的使用者權限來執行任意程式碼 (CVE-2013-6045、CVE-2013-6054)。

在 OpenJPEG 中發現多個拒絕服務瑕疵。攻擊者可建立特製的 OpenJPEG 影像，在開啟該影像時，可造成使用 openjpeg 的應用程式損毀 (CVE-2013-1447、CVE-2013-6052)

遠端主機受到 GLSA-201412-24 中所述的弱點影響 (OpenJPEG：多個弱點)

    在 OpenJPEG 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    遠端攻擊者可能引誘使用者開啟特製的 JPEG 檔案，並可能藉此執行任意程式碼，或引發拒絕服務情形。此外，遠端攻擊者可能會取得敏感資訊。
  因應措施：

    目前尚無已知的因應措施。

ID	名稱	產品	系列	已發布	已更新	嚴重性
71180	Debian DSA-2808-1：openjpeg - 數個弱點	Nessus	Debian Local Security Checks	2013/12/4	2021/1/11	high
71513	Oracle Linux 6 : openjpeg (ELSA-2013-1850)	Nessus	Oracle Linux Local Security Checks	2013/12/18	2021/1/14	high
97908	OracleVM 3.3 / 3.4：openjpeg (OVMSA-2017-0048)	Nessus	OracleVM Local Security Checks	2017/3/23	2021/1/4	high
71516	RHEL 6 : openjpeg (RHSA-2013:1850)	Nessus	Red Hat Local Security Checks	2013/12/18	2021/1/14	high
71517	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 openjpeg	Nessus	Scientific Linux Local Security Checks	2013/12/18	2021/1/14	high
74176	FreeBSD：openjpeg -- 多個弱點 (02db20d7-e34a-11e3-bd92-bcaec565249c)	Nessus	FreeBSD Local Security Checks	2014/5/26	2021/1/6	critical
71501	CentOS 6 : openjpeg (CESA-2013:1850)	Nessus	CentOS Local Security Checks	2013/12/18	2021/1/4	high
72289	Amazon Linux AMI：openjpeg (ALAS-2014-271)	Nessus	Amazon Linux Local Security Checks	2014/2/5	2018/4/18	high
79977	GLSA-201412-24：OpenJPEG：多個弱點	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	critical

偵測

搜尋 Plugin

high

high

high

high

high

critical

high

high

critical