4.0.2-6+deb7u7 版本採納的變更造成若使用的解壓縮方案是依賴影像內嵌特定轉碼器的 TIFF 標籤時，libtiff 無法寫出 tiff 檔案。此問題會表現出類似下列錯誤：$ tiffcp -r 16 -c jpeg sample.tif out.tif _TIFFVGetField: out.tif: 無效標籤「Predictor」(轉碼器不支援)。_TIFFVGetField: out.tif: 無效標籤「BadFaxLines」(轉碼器不支援)。tiffcp: tif_dirwrite.c:687: TIFFWriteDirectorySec: 宣告「0」失敗。針對 Debian 7「Wheezy」，這些問題已在 4.0.2-6+deb7u10 版本中修正。建議您升級 tiff 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

LibTiff 已更新至 4.0.4 穩定版本，可修正多種安全性問題和錯誤。

已修正這些安全性問題：

- CVE-2014-8127：超出邊界寫入 (bnc#914890)。

- CVE-2014-8128：超出邊界寫入 (bnc#914890)。

- CVE-2014-8129：超出邊界寫入 (bnc#914890)。

- CVE-2014-8130：超出邊界寫入 (bnc#914890)。

- CVE-2014-9655：未初始化的記憶體存取 (bnc#916927)。

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在支援標籤影像檔案格式 (TIFF) 的程式庫 tiff3 中發現數個安全性弱點。攻擊者可利用這些瑕疵，造成使用 libtiff4 或 libtiffxx0c2 程式庫的應用程式拒絕服務 (應用程式損毀)，或可能以執行該應用程式之使用者的權限執行任意程式碼。

針對 Debian 7「Wheezy」，這些問題已在 3.9.6-11+deb7u1 版本中修正。

我們建議您升級 tiff3 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

行動裝置執行的 iOS 版本比 8.4 舊。因此受到下列元件中的弱點影響：

  - Application Store
  - 憑證信任原則
  - CFNetwork HTTPAuthentication
  - CoreGraphics
  - CoreText
  - coreTLS
  - DiskImages
  - FontParser
  - ImageIO
  - Kernel
  - 郵件
  - MobileInstallation
  - Safari
  - Security
  - SQLite
  - Telephony
  - WebKit
  - WiFi 連線

tiff 已更新至 4.0.4 版，可修正模糊測試計劃發現的六個安全性問題。

已修正這些安全性問題：

- CVE-2014-8127：超出邊界寫入 (bnc#914890)。

- CVE-2014-9655：未初始化的記憶體存取 (bnc#916927)。

- CVE-2014-8130：超出邊界寫入 (bnc#914890)。

- CVE-2015-1547：在 NeXTDecode 中使用未初始化的記憶體 (bnc#916925)。

- CVE-2014-8129：超出邊界寫入 (bnc#914890)。

- CVE-2014-8128：超出邊界寫入 (bnc#914890)。

tiff 已更新，可修正模糊測試計劃發現的六個安全性問題。

已修正這些安全性問題：

- CVE-2014-8127：超出邊界寫入 (bnc#914890)。

- CVE-2014-8128：超出邊界寫入 (bnc#914890)。

- CVE-2014-8129：超出邊界寫入 (bnc#914890)。

- CVE-2014-8130：超出邊界寫入 (bnc#914890)。

- CVE-2014-9655：未初始化的記憶體存取 (bnc#916927)。

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 LibTIFF 程式庫和標籤影像檔案格式的公用程式中發現數個弱點。這些弱點可導致拒絕服務、資訊洩漏或權限提升。

CVE-2014-8128

William Robinet 發現，處理特製 TIFF 檔時，數個 LibTIFF 公用程式中會觸發超出邊界寫入。
其他使用 LibTIFF 的應用程式亦可能受到相同影響。

CVE-2014-8129

William Robinet 發現，處理特製 TIFF 檔時，tiff2pdf 中會觸發超出邊界讀取和寫入。其他使用 LibTIFF 的應用程式亦可能受到相同影響。

CVE-2014-9330

Paris Zoumpouloglou 發現，處理特製 BMP 檔時，bmp2tiff 中會觸發超出邊界讀取和寫入。

CVE-2014-9655

Michal Zalewski 發現，處理特製 TIFF 檔時，LibTIFF 中會觸發超出邊界讀取和寫入。

針對舊的穩定發行版本 (squeeze)，這些問題已在 3.9.4-5+squeeze12 版本中修正。

針對舊的穩定發行版本 (wheezy)，這些問題將會在短時間內修正。

穩定的發行版本 (jessie) 不會受到這些問題影響，因為其在發行之前便已修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

USN-2553-1 已修正 LibTIFF 中的弱點。其中一個安全性修正在儲存包含 Predictor 標籤的特定 TIFF 檔案時，造成迴歸。已暫時移除有問題的修補程式，直到提供更完整的修正為止。

由此給您帶來的不便，我們深表歉意。

William Robinet 發現，LibTIFF 未正確處理特定的格式錯誤影像。如果使用者或自動化系統遭誘騙而開啟特製影像，遠端攻擊者可能造成應用程式損毀，從而導致拒絕服務，或可能以使用者權限執行任意程式碼。(CVE-2014-8127、CVE-2014-8128、CVE-2014-8129、CVE-2014-8130)

Paris Zoumpouloglou 發現，LibTIFF 未正確處理格式錯誤的特定 BMP 影像。如果使用者或自動化系統受到誘騙而開啟特製的 BMP 影像，遠端攻擊者就可造成應用程式損毀，從而導致拒絕服務。(CVE-2014-9330)

Michal Zalewski 發現，LibTIFF 未正確處理格式錯誤的特定影像。如果使用者或自動化系統遭誘騙而開啟特製影像，遠端攻擊者可能造成應用程式損毀，從而導致拒絕服務，或可能以使用者權限執行任意程式碼。(CVE-2014-9655)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

現已提供適用於 Slackware 14.2 和最新版本的新 libtiff 套件，可修正多個安全性問題。

更新版 libtiff 套件可修正安全性弱點：

libtiff 影像解碼器程式庫中包含數個問題，讀取特製 TIFF 影像時可造成解碼器損毀 (CVE-2014-8127、CVE-2014-8128、CVE-2014-8129、CVE-2014-8130、CVE-2014-9655、CVE-2015-1547)。

遠端主機受到 GLSA-201701-16 中所述的弱點影響 (libTIFF：多個弱點) 在 libTIFF 中發現多個弱點。如需詳細資料，請檢閱提及的 CVE 識別碼和錯誤報告。影響：遠端攻擊者可引誘使用者處理特製的影像檔案，並可能以處理程序的權限執行任意程式碼，或導致拒絕服務情形。因應措施：目前尚無已知的因應措施。

LibTIFF 已更新，修正了可導致影像解碼器損毀的多種安全性問題。(CVE-2014-9655、CVE-2014-8127、CVE-2014-8128、CVE-2014-8129、CVE-2014-8130、CVE-2015-1547)

William Robinet 發現，LibTIFF 未正確處理特定的格式錯誤影像。如果使用者或自動化系統遭誘騙而開啟特製影像，遠端攻擊者可能造成應用程式損毀，從而導致拒絕服務，或可能以使用者權限執行任意程式碼。(CVE-2014-8127、CVE-2014-8128、CVE-2014-8129、CVE-2014-8130)

Paris Zoumpouloglou 發現，LibTIFF 未正確處理格式錯誤的特定 BMP 影像。如果使用者或自動化系統受到誘騙而開啟特製的 BMP 影像，遠端攻擊者就可造成應用程式損毀，從而導致拒絕服務。
(CVE-2014-9330)

Michal Zalewski 發現，LibTIFF 未正確處理格式錯誤的特定影像。如果使用者或自動化系統遭誘騙而開啟特製影像，遠端攻擊者可能造成應用程式損毀，從而導致拒絕服務，或可能以使用者權限執行任意程式碼。(CVE-2014-9655)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

William Robinet 與 Michal Zalewski 在 TIFF 程式庫及其工具中發現多個弱點，如果處理格式錯誤的 TIFF 檔案，這可能導致拒絕服務或執行任意程式碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
94474	Debian DLA-693-2：tiff 迴歸更新	Nessus	Debian Local Security Checks	2016/11/3	2021/1/11	critical
85762	SUSE SLED12 / SLES12 安全性更新：tiff (SUSE-SU-2015:1475-1)	Nessus	SuSE Local Security Checks	2015/9/3	2021/1/6	high
93322	Debian DLA-610-1：tiff3 安全性更新	Nessus	Debian Local Security Checks	2016/9/6	2021/1/11	critical
84490	Apple iOS < 8.4 多個弱點 (Logjam)	Nessus	Mobile Devices	2015/7/1	2024/4/8	high
84655	openSUSE 安全性更新：tiff (openSUSE-2015-476)	Nessus	SuSE Local Security Checks	2015/7/13	2021/1/19	high
85597	SUSE SLED11 / SLES11 安全性更新：tiff (SUSE-SU-2015:1420-1)	Nessus	SuSE Local Security Checks	2015/8/24	2021/1/6	high
83499	Debian DLA-221-1：tiff 安全性更新	Nessus	Debian Local Security Checks	2015/5/18	2021/1/11	high
82525	Ubuntu 14.04 LTS：LibTIFF 迴歸 (USN-2553-2)	Nessus	Ubuntu Local Security Checks	2015/4/2	2023/10/20	high
104702	Slackware 14.2 / 最新版本：libtiff (SSA:2017-324-01)	Nessus	Slackware Local Security Checks	2017/11/21	2021/1/14	medium
82400	Mandriva Linux 安全性公告：libtiff (MDVSA-2015:147-1)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium
96373	GLSA-201701-16：libTIFF：多個弱點	Nessus	Gentoo Local Security Checks	2017/1/10	2021/1/11	critical
81719	openSUSE 安全性更新：tiff (openSUSE-2015-207)	Nessus	SuSE Local Security Checks	2015/3/10	2021/1/19	high
82497	Ubuntu 14.04 LTS：LibTIFF 弱點 (USN-2553-1)	Nessus	Ubuntu Local Security Checks	2015/4/1	2023/10/23	high
83820	Debian DSA-3273-1：tiff - 安全性更新	Nessus	Debian Local Security Checks	2015/5/27	2021/1/11	high

偵測

搜尋 Plugin

critical

high

critical

high

high

high

high

high

medium

medium

critical

high

high

high