Debian DLA-2214-1：libexif 安全更新

critical Nessus 插件 ID 136674

语言：

简介

远程 Debian 主机缺少安全更新。

描述

已在用于解析 EXIF 元数据文件的库 libexif 中修复多个漏洞。

CVE-2016-6328

在解析输入文件的 MNOTE 条目数据时，发现一个整数溢出漏洞。该漏洞可造成拒绝服务 (DoS) 和信息泄露（泄露某些关键堆区块元数据，甚至其他应用程序的隐私数据）。

CVE-2017-7544

libexif 容易受到 libexif/exif-data.c 的 exif_data_save_data_entry 函数中越界堆读取漏洞的影响，该漏洞是未正确计算 ExifMnote 条目的分配数据长度所致，可造成拒绝服务或可能泄露信息。

CVE-2018-20030

处理 libexif 版本中的 EXIF_IFD_INTEROPeraBILITY 和 EXIF_IFD_EXIF 标签时发生的错误可被用来耗尽可用 CPU 资源。

CVE-2020-0093

exif-data.c 的 exif_data_save_data_entry 中可能存在越界读取，这是缺少边界检查所致。该漏洞导致本地信息泄露，且无需其他执行权限。需要用户交互才可利用此漏洞。

CVE-2020-12767

libexif 的 exif-entry.c 的 exif_entry_get_value 中存在除零错误

对于 Debian 8“Jessie”，已在版本 0.6.21-2+deb8u2 中修复这些问题。

我们建议您升级 libexif 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。