遠端 Debian 10 主機上安裝的多個套件受到 dla-3451 公告中提及的一個弱點影響。

  - PyPDF2 是一個開放原始碼 python PDF 程式庫，能夠分割、合併、裁剪和轉換 PDF 檔案的頁面。在 1.27.5 之前版本中，如果 PyPDF2 程式碼嘗試取得內容串流，則攻擊者便可利用此弱點特製 PDF，進而導致無限迴圈。原因是「ContentStream._readInlineImage」中的最後一個 while 迴圈只在找到「EI」token 時終止，但從未實際檢查串流是否已經結束。此問題已在 1.27.5 版本中得到解決。無法升級的使用者應在反覆使用其內容串流之前驗證 PDF。
    (CVE-2022-24859)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DLA-3451-1：pypdf2 - LTS 安全性更新

medium Nessus Plugin ID 177106

版本 1.0