GLSA-202210-31 : OpenEXR:多个漏洞

high Nessus 插件 ID 166712

语言:

描述

远程主机受到 GLSA-202210-31 中所述漏洞的影响(OpenEXR:多个漏洞)

- 在 OpenEXR 的 hufDecode 功能中发现一个缺陷。此漏洞允许攻击者将精心制作的文件传递给 OpenEXR 处理,从而触发未定义的右移错误。此漏洞最大的威胁在于系统可用性。(CVE-2021-20304)

- 在 3.0.1 之前版本的 OpenEXR 的 copyIntoFrameBuffer 函数中发现堆缓冲区溢出。
攻击者可以利用此缺陷,使用运行针对 OpenEXR 编译的应用程序的用户所具有的权限,执行任意代码。(CVE-2021-23169)

- OpenEXR 3.0.5 之前版本的 ImfDeepScanLineInputFile 功能中存在缺陷。如果攻击者可将构建文件提交至与 OpenEXR 链接的应用程序,则可造成越界读取。此缺陷对应用程序可用性风险最大。(CVE-2021-3598)

- OpenEXR 3.0.5 之前版本的 rleUncompress 功能中存在缺陷。如果攻击者可将构建文件提交至与 OpenEXR 链接的应用程序,则可造成越界读取。此缺陷对应用程序可用性风险最大。(CVE-2021-3605)

- OpenEXR 在 size_t < 64 位的系统上处理构建的文件时,可能发生整数溢出。
这可造成 bytesPerLine 和 maxBytesPerLine 值无效,进而导致应用程序稳定性问题或引发其他攻击路径。 (CVE-2021-3933)

- 在 ImfChromaticities.cpp 例程 RGBtoXYZ() 中,存在一些除法运算,例如 `float Z = (1 - chroma.white.x - chroma.white.y) * Y / chroma.white.y;` 和 `chroma。 green.y * (X + Z))) / d;`,但未检查除数中的 0 值。特别构建的文件可触发除以零的情况,从而影响与 OpenEXR 链接的程序的可用性。(CVE-2021-3941)

- 3.1.4 之前的 OpenEXR 3.1.x 在执行调用自 IlmThread_3_1::NullThreadPoolProvider::addTask 和 IlmThread_3_1::ThreadPool::addGlobalTask 的 Imf_3_1::LineCompositeTask::execute 时有一个基于堆的缓冲区溢出。注意:
db217f2 可能不适用。(CVE-2021-45942)

请注意,Nessus 尚未测试这些问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

所有 OpenEXR 用户都应当升级到最新版本:

# emerge --sync # emerge --ask --oneshot --verbose >=media-libs/openexr-3.1.5

另见

https://security.gentoo.org/glsa/202210-31

https://bugs.gentoo.org/show_bug.cgi?id=787452

https://bugs.gentoo.org/show_bug.cgi?id=801373

https://bugs.gentoo.org/show_bug.cgi?id=810541

https://bugs.gentoo.org/show_bug.cgi?id=817431

https://bugs.gentoo.org/show_bug.cgi?id=830384

https://bugs.gentoo.org/show_bug.cgi?id=838079

插件详情

严重性: High

ID: 166712

文件名: gentoo_GLSA-202210-31.nasl

版本: 1.2

类型: local

发布时间: 2022/10/31

最近更新时间: 2022/10/31

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: Medium

基本分数: 6.8

时间分数: 5

矢量: AV:N/AC:M/Au:N/C:P/I:P/A:P

时间矢量: E:U/RL:OF/RC:C

CVSS 分数来源: CVE-2021-23169

CVSS v3

风险因素: High

基本分数: 8.8

时间分数: 7.7

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

时间矢量: E:U/RL:O/RC:C

漏洞信息

CPE: p-cpe:/a:gentoo:linux:openexr, cpe:/o:gentoo:linux

必需的 KB 项: Host/local_checks_enabled, Host/Gentoo/release, Host/Gentoo/qpkg-list

易利用性: No known exploits are available

补丁发布日期: 2022/10/31

漏洞发布日期: 2021/6/8

参考资料信息

CVE: CVE-2021-3598, CVE-2021-3605, CVE-2021-3933, CVE-2021-3941, CVE-2021-20304, CVE-2021-23169, CVE-2021-45942