現已提供適用於 Slackware 14.0、14.1、14.2 和最新版本的新 libvorbis 套件，可修正多個安全性問題。

遠端主機受到 GLSA-202003-36 中所述的弱點影響 (libvorbis：多個弱點) 在 libvorbis 中已經發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。影響：誘騙使用者處理特製音訊檔案的遠端攻擊者可能會造成拒絕服務情況。因應措施：目前尚無已知的因應措施。

現已提供適用於 Red Hat Enterprise Linux 8 的 libvorbis 更新。Red Hat 產品安全性團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。libvorbis 套件包含執行階段程式庫，可用於支援 Ogg Vorbis 的程式，Ogg Vorbis 是一個開放式、非專有、免專利費和免版稅的一般用途壓縮格式，可用於固定和可變位元速率的音訊和音樂。安全性修正：* libvorbis：mapping0_forward 函式中發生堆積緩衝區溢位 (CVE-2018-10392) * libvorbis：bark_noise_hybridmp 函式中發生堆疊型緩衝區溢位 (CVE-2018-10393) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。其他變更：如需有關此發行版本的詳細變更資訊，請參閱可從〈參照〉一節連結的 Red Hat Enterprise Linux 8.1 版本資訊。

遠端 Ubuntu 16.04 LTS 主機上安裝的套件受到 USN-5420-1 公告中所提及的多個弱點影響。

  - Xiph.Org libvorbis 1.3.5 中 psy.c 的 bark_noise_hybridmp 函式允許遠端攻擊者透過建構的 mp4 檔案造成拒絕服務 (超出邊界存取和應用程式損毀)，或可能造成其他不明影響。(CVE-2017-14160)

  - Xiph.Org libvorbis 1.3.6 中 mapping0.c 的 mapping0_forward 不會驗證通道數目，進而允許遠端攻擊者透過建構的檔案，造成拒絕服務 (堆積型緩衝區溢位或過度讀取) 或可能造成其他不明影響。(CVE-2018-10392)

  - 在 Xiph.Org libvorbis 1.3.6 中，psy.c 的 bark_noise_hybridmp 有堆疊型緩衝區過度讀取弱點。
    (CVE-2018-10393)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2019: 3703 公告中提及的多個弱點影響。

  - libvorbis：mapping0_forward 函式中發生堆積緩衝區溢位 (CVE-2018-10392)

  - libvorbis：bark_noise_hybridmp 函式中的堆疊緩衝區溢位 (CVE-2018-10393)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2019-3703 公告中提及的多個弱點影響。

  - Xiph.Org libvorbis 1.3.6 中 mapping0.c 的 mapping0_forward 不會驗證通道數目，進而允許遠端攻擊者透過建構的檔案，造成拒絕服務 (堆積型緩衝區溢位或過度讀取) 或可能造成其他不明影響。(CVE-2018-10392)

  - 在 Xiph.Org libvorbis 1.3.6 中，psy.c 的 bark_noise_hybridmp 有堆疊型緩衝區過度讀取弱點。
    (CVE-2018-10393)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 9 主機上安裝的多個套件受到 dla-2828 公告中提及的多個弱點影響。

  - Xiph.Org libvorbis 1.3.5 中 psy.c 的 bark_noise_hybridmp 函式允許遠端攻擊者透過建構的 mp4 檔案造成拒絕服務 (超出邊界存取和應用程式損毀)，或可能造成其他不明影響。(CVE-2017-14160)

  - Xiph.Org libvorbis 1.3.6 中 mapping0.c 的 mapping0_forward 不會驗證通道數目，進而允許遠端攻擊者透過建構的檔案，造成拒絕服務 (堆積型緩衝區溢位或過度讀取) 或可能造成其他不明影響。(CVE-2018-10392)

  - 在 Xiph.Org libvorbis 1.3.6 中，psy.c 的 bark_noise_hybridmp 有堆疊型緩衝區過度讀取弱點。
    (CVE-2018-10393)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在 libvorbis (適用於 Vorbis General Audio Compression Codec 的解碼器程式庫) 中發現幾個問題。CVE-2017-14160 和 CVE-2018-10393 的修正改善了採樣速率極低的邊界檢查問題。之所以發現 CVE-2018-10392，是因為通道數未經驗證，遠端攻擊者可造成拒絕服務。針對 Debian 8「Jessie」，這些問題已在 1.3.4-2+deb8u2 版本中修正。建議您升級 libvorbis 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據安裝的 libvorbis 套件版本，遠端主機上的 EulerOS Virtualization for ARM 64 安裝會受到下列弱點影響：- 在 Xiph.Org libvorbis 1.3.6 的 psy.c 中，bark_noise_hybridmp 存在一個堆疊型緩衝區過度讀取。(CVE-2018-10393) - 在 Xiph.Org libvorbis 1.3.6 的 mapping0.c 中，mapping0_forward 未驗證通道數目，進而允許遠端攻擊者透過特製的檔案，造成拒絕服務 (堆積型緩衝區溢位或過度讀取)，或可能造成其他不明影響。(CVE-2018-10392) - 在 Xiph.Org libvorbis 1.3.5 的 psy.c 中，bark_noise_hybridmp 函式允許遠端攻擊者透過特製的 mp4 檔案，造成拒絕服務 (越界存取和應用程式損毀)，或可能造成其他不明影響。(CVE-2017-14160) 請注意，Tenable Network Security 已直接從 EulerOS 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
138131	Slackware 14.0 / 14.1 / 14.2 / 最新版本：libvorbis (SSA：2020-186-01)	Nessus	Slackware Local Security Checks	2020/7/6	2024/3/4	high
134642	GLSA-202003-36：libvorbis：多個弱點	Nessus	Gentoo Local Security Checks	2020/3/18	2024/3/21	high
130570	RHEL 8：libvorbis (RHSA-2019:3703)	Nessus	Red Hat Local Security Checks	2019/11/6	2024/4/27	high
161171	Ubuntu 16.04 ESM：Vorbis 弱點 (USN-5420-1)	Nessus	Ubuntu Local Security Checks	2022/5/13	2023/10/20	high
145621	CentOS 8：libvorbis (CESA-2019: 3703)	Nessus	CentOS Local Security Checks	2021/1/29	2024/1/25	high
180701	Oracle Linux 8：libvorbis (ELSA-2019-3703)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	high
155711	Debian DLA-2828-1：libvorbis - LTS 安全性更新	Nessus	Debian Local Security Checks	2021/11/29	2023/11/22	high
131431	Debian DLA-2013-1：libvorbis 安全性更新	Nessus	Debian Local Security Checks	2019/12/3	2024/4/9	high
131510	EulerOS Virtualization for ARM 64 3.0.3.0：libvorbis (EulerOS-SA-2019-2345)	Nessus	Huawei Local Security Checks	2019/12/3	2024/4/8	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high